iptables conn_limit se deve usar mangle ou filter?

Question

SO: CentOS,

WS: apache 2.2

A intenção aqui é restringir um ip de origem externo específico para ter 20 conexões por minuto, o restante precisa ser dropado ou Rejeitado

Sem especificar o minuto, tentamos

iptables -A ENTRADA -p tcp --syn --src 1x5.81.18.12 -m connlimit --connlimit-acima 20 -j REJEITAR --rejeitar-com tcp-reset

Ao verificar netstat -anp | grep 1x5.81.18.12 | wc -l, ainda consigo ver 50+ TIME_WAIT, 30+ Est,

qualquer um de vocês pode me guiar?