linux网关设iptable connlimit为何无效啊？

mygod100

linux网关服务器ip为192.168.0.1，并开启squid服务(端口312
发现在iptable中设置connlimit后，对局域网(192.168.0.0/24)连接数限制好像没有效果啊!

iptables -I FORWARD -p tcp -s 192.168.0.0/24 --syn -m connlimit --connlimit-above 2000 --connlimit-mask 32 -j DROP
iptables -I INPUT -p tcp -s 192.168.0.0/24 --syn -m connlimit --connlimit-above 2000 --connlimit-mask 32 -j DROP
iptables -t nat -I PREROUTING -p tcp -dport 80 -s 192.168.0.0/24 --syn -m connlimit --connlimit-above 2000 --connlimit-mask 32 -j DROP

查看netstat -ntu和 /proc/net/ip_conntrack并统计，发现仍有局域网(192.168.0.0/24)内IP的连接数超过2000甚至达到5000，是我哪里设错了吗？