Имеем:
1. FreeBsd как роутер
2. 2 сети
на роутере 3 сетевухи:
1-я intel 1000 pro/mt смотрит в сторону провайдера 100Mbit/s ip 10.x.x.x (em0)
2-я intel на 82550 100Mbit/s смотрит в локалку 192.168.0.1 (fxp0)
3-я d-link 192.168.0.xx (который знаю только я) ARPSTATIC  (vr0)
Разумеется все в пулинге.
на фаерволе первое правило drop icmp from any to any
далее идут некоторые разрешающие/разрещающие правила.
в частности на второй и третей сетевухе запрещено принимать пакеты не из локальной подсети
а на первой не из подсети провайдера.
последнее drop ip from any to any

Сетевухи 2 и 3 включены в 1 свитч.

Имеем проблему:
Переодически 192.168.0.1 просто перестает отвечать.
tcpdump -p -i em0 - пусто
tcpdump -i em0 - пусто

tcpdump -p -i vr0 - пусто
tcpdump -i vr0 - пусто

tcpdump -p -i fxp0 - пусто
tcpdump -i fxp0 - флуд из icmp пакетов. Причем в качестве источника пакета стоит ip и сети провайдера,
а в качестве пункта назначения одна из машин нашей сети.

Если выдернуть проводок аплинка (в локальной сети) флуд исчезает и интерфейс немедленно оживает.
Перезагрузка свитча не помогает.

Cвитч Zyxcel неуправляемый. я думаю модель значения не имеет

Собственно вопросы:
1. Как может появится такой пакет в сети если их прохождение запрещено в принципе.
2. Почему флуд валит интерфейс em0 при этом трафик адресован другой машине.
3. Почему флуд не валит интерфейс vr0? соседние дырки на свитче.