Pro doplnění: Mluvím o případě, kdy máte nahrané moduly pro connection tracking. Pak se virtual reassembly dělá:
http://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO-7.html říká:
If you are doing connection tracking or NAT, then all fragments will get merged back together before they reach the packet filtering code, so you need never worry about fragments.
Je to ale jen virtuální reassembly, že se fragmenty sice pospojují v paměti a zdrží se, dokud nejsou všechny, aby se z nich sestavil packet a namatchoval se přes pravidla, ale dál se odforwardují opět rozdělené na původní fragmenty. Aspoň AFAIK.