никогда не интересовал этот вопрос.. и правда:
создаю правило (источник) 192.168.1.10 -> (назначение) 192.168.1.11 -> (служба) ping -> отказать
а пинги как шли, так и идут. печаль..
я по недостатку опыта думал, что весь трафик идет через керио, иначе зачем создавать правила для локального трафика типа (источник) "доверенные локальные"-> (назначение) "доверенные локальные"