Обычный способ сделать что-то вроде этого - создать модуль [h0] netfilter hook .
См. этот пример для быстрого запуска.