conntrack -Fза такое по рукам ломом надо бить,
упал аплина это либо решается нормально настроенным dualwan и dindns, либо никак, телефон не знает что у тебя на роутере аплик упал сеть у него доступна(есть конечно вариант с маркировкой и принудительно убитием сессий если аплинк упал но есть один минус ввиде не полного падения аплика а его нестабильной работы ввиде потери пакетов)