> Спасибо, уже неплохо, хотя из мана это неочевидно (ещё раз к вопросу
> о вменяемой документации).

Ну я кроме мана не использовал ничего. Хз, какая должна быть вменяемая. Разве что примеров побольше.

> Но хотелось бы не столько "--ttl-set", сколько "--ttl-inc" (типа, скрыть от трассировки
> dnat'ящий хост)

От трассировки можно, например, просто дропать исходящие icmp ttl exceeded. Это самое простое и дубовое.

Или что-то типа такого (вместо XX и YY подставить нужные числа):

table ip mangle {
  chain prerouting {
    type filter hook prerouting priority mangle
    policy accept

    iifname "eth0" ip daddr 192.0.2.33 ip ttl < XX ip ttl set YY
  }
}

Или можно дропать пакеты с маленьким ttl, т.к. это в 99.99% трейсроут, а в остальных случаях они и так не нужны уже.