МНе нужно запретить исходящие пакеты на 22 порты.
Воспользовавшись ссылкой http://fun.tcavs.ru/ru_docs/ipf.howto
добавляю в /etc/ipf.conf строку

block in proto tcp/udp from 1.2.3.4/32 to any port 22
Рестартую сервер.

ipfstat -io показывает мое новое правило.

Затем tcpdump net 1.2.3.0/24 and port 22

И вижу исходящие пакеты с 1.2.3.4 (комп в нашей сети заражен червем, который ломится на 22 порт повсеместно) - это понятно. НО почему есть ответные пакеты от компов, к котрым он стучится?

Мое правило неверное?