Добрый день Уважаемые!

Мне чисто для более лучшего понимания, помогите понять такой момент:

Есть фря с простеньким фаерволом

00100    0      0 check-state :default
00200    0      0 deny ip from any to any frag offset
00300   72   7280 deny tcp from any to any established
00400  372  68247 allow tcp from any to me 22 setup keep-state :default
00500  540 330094 allow tcp from me to any setup keep-state :default
00600 2258 607110 allow udp from me to any keep-state :default
00700    0      0 allow icmp from me to any keep-state :default
00800    0      0 allow icmp from any to me keep-state :default
00900    0      0 allow tcp from table(1) to me 443 keep-state :default
01000    0      0 allow udp from any to me 500,4500 keep-state :default
01100    0      0 allow udp from any to me 1701 keep-state :default
01300  457  57862 deny ip from any to any

Так вот у меня установлена 1 ssh сессия на этот сервак, и по моему пониманию - должно 1 раз сработать правило 400, а в дальнейшем это соединение должно обрабатываться динамическим правилом по check-state. А в счётчиках видно, что это правило срабатывает и срабатывает.

Логи проверил, никаких брутфорсов нет, да и порт там на самом деле не умолчальный (не 22), так что я не понимаю почему так происходит. Объясните пожалуйста.