Velho assunto: Limitar nr de conexões

Já existe outro tópico sobre esse assunto, mas já que ficou muito passado, resolvi abrir outro com a solução já realizada (em partes), facilitando aos novos, e pedindo ajuda aos demais..


A limitação de conexões simultaneas é algo que todos deverão com o tempo tomar cuidade, e nós implantamos a seguinte regra aqui:

chain=forward protocol=tcp tcp-flags=syn connection-limit=30,32 src-address-list=conx_limit action=drop

Criamos uma ADDRESS LIST com o nome conx_limit e lá colocamos os ip´s dos clientes.
Até acompanhamos os pacotes pelos Status, etc, mas observei num cliente, que mesmo estando no address list, tem muito mais de 50 conexoes abertas.
A maioria está funcionando, tanto é que tive um cliente que reclamou que travava, e qdo liberava funcionava tudo. Mas tem 1 ou 2 que não estão funcionando.

Será que essa regra não precisaria de algum ajuste?
Eu coloquei a "tcp-flags=syn" mas não sei qual a função dela.
Será que nas opções: Connection State precisaria de algo?