netfilter: avoid get_random_bytes calls