А>Не следует забывать еще и про пачку LSP через которые прогоняется трафик. Мало ли что там..

Ну, во-первых, на чистой системе их нет. Во-вторых, никто не мешает приложению явно указывать SPI провайдера и тем самым избегать фильтрации.