Столкнулся с проблемой модуля GEOIP.
Скачал свежие базы, скомпилировал их, ну и запустил правило -m geoip ! --src-cc PL,BG,GB,BY,MD,LV,KZ,UA,RU -j LOG
Большинство захваченных пакетов пришли с UA,RU, хотя их по идеи не должно быть вовсе.
Проверил csv файл на наличие данных ip, там все в порядке, страны правильно размечены.
OC debian 6

Куда копать?

Вот пример, поймало 176.108.15.211 (UA), но в csv с которого я компилировал запись есть
"176.108.0.0","176.108.31.255","2959867904","2959876095","UA","Ukraine"