Bloqueio por MAC não funcionando no IPTables

Boa noite,

Eu criei uma chain chamada filtro_mac. Nela existe uma regra para cada máquina cadastrada no DHCP, da seguinte forma:

iptables -A filtro_mac -p tcp -s <IP do cara> -mac --mac-source <MAC do cara> -j DROP

E no fim de tudo:

iptables -A filtro_mac -j DROP

OU seja, pelo meu entendimento, todos os pacotes que não provenham de máquinas não cadastradas no DHCP são descartados.

O problema é que quando eu insiro na chain FORWARD a regra que "pula" para a chain filtro_mac, nenhuma máquina acessa a internet, apenas recebe o endereço IP. A política na chain FORWARD é ACCEPT. O compartilhamento é feito via NAT somente.

Agradeço qualquer ajuda.