うまくいったかもしれません。
nf_conntrackの、fin_waitだけでなく、time_outも1とする。
おまけでメモリ容量にあわせてconntrack_maxも調整。

map.shによって自動生成される--connlimit-daddrだと分散される気配が無く詰まるので、
過去スレ12の499を参照にsaddrでiptables書き直し。

今の所これで問題なさそうなので様子を見てみます。

>>758 さん。
ヒント、アドバイス有難うございます。