Клиенты одним IP натятся?

В dmesg не сообщений о conntrack?

не одним

нету, контракты подкручивал.

1. проверить в iptables в snat наличие persistent
2. cat /proc/sys/net/netfilter/nf_conntrack_count
cat /proc/sys/net/netfilter/nf_conntrack_max

если ipoe tcp mss трогать не надо.

1) реальный IP   зафиксированы по блокам внутренних IP
cat /proc/sys/net/netfilter/nf_conntrack_count
83692
at /proc/sys/net/netfilter/nf_conntrack_max
9548576

тут нормально. На текущий момент, по крайней мере.

тогда проверь п.1 Чтобы клиентский ip был привязян к внешнему ip роутера.

Если mtu разные, то попробовать что-то типа:
-A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS  --clamp-mss-to-pmtu

попробовал добавить, без изменений, mtu не разные, проблема возникает даже при обращении к внутренним ресурсам, которые не проходят нат

Так проблема не в NAT, получается.

я тоже так думаю, но не могу придумать варианты где может крыться проблема

Вопрос не по теме, но раз уж вчера тут про swift спрашивали, может
и мне кто-н поможет.
Нет ли у кого-н английской документации от Alcatel S12 ?
(у меня есть, но на португальском :)

Тут разнопланые проблемы могут быть. Имхо, надо включаться как абонент, снимать дампы. Смотреть, что уходит и, особенно что возвращается. Может, запрос уходит на один IP, а возвращется с другим, вот клиенти с сбрасывает. Например, в случае кривого редиректа. Или файрвол фильтрует как-то. Вот, в iptables можно прикрутить что-то типа:
-A <....> -m statistic --mode random --probability 0.5 -j DROP
И люди долго потери в сети будут искать, да кабеля переобжимать. 😊

Проблема у всех или у конкретного клиента?

у конкретного

С проверочным девайсом инженер ходил?

да

это PON?