netfilter: xtables: make ip_tables reentrant