>Учите мат.часть. Соедиение TCP и состояние "соедиения" в Netfilter - даже не
>однофамильцы.

извините коллега, если задел вас постом
я имел ввиду совсем не то что вы подумали, (вчитайтесь еще раз) объясните мне практический смысл правила с проверкой состояния для icmp? разве только DROP'ть INVALID.
для себя не имею смысла добавлять такое правило так как в цепочке где проверяется разрешенный траф, стоит правило $IPTABLES -A allowed -m state --state INVALID -j DROP
под которое попадают пакеты независимо от протокола. или может я гдето не прав