关于IPTABLES 7层过滤的问题

各位，大家好
我在做iptales 7层过滤的时候遇到一个问题：如果在iptables本地主机上写上一条策略iptables -A OUTPUT -m layer7 --l7proto qq -j DROP,那么本地主机上的QQ就无法登陆了。
但是，如果我用这台iptables主机做网络边界，连接内网的一个局域网，在防火墙上写上一下两条策略：
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE
这样内网访问公网不成问题，但是不能阻止QQ,所以我写了如下策略：
iptables -t mangle -A POSTROUTING -m layer7 --l7proto qq -j DROP
但是这样不行，还是不能阻挡，而且在防火墙上提示：
layer7 : mached qq
layer7: can not get conntrack
实在解决不了了，求各位高手不吝赐教