По поводу icmp echo, если таки хочется его закрыть, можно, как вариант, открыть для сетей, для которых созданы интерфейсы и для default gw (или только для default gw). Может быть, стоит создать для этого отдельную цепочку, которую править по крону или событию IP UP. Динамическая модификация для сетей на интерфейсах будет иметь смысл только в случае dhcp и, возможно, openvpn, так как в случае ppp выдаётся адрес с CIDR /32 и такую "сеть" разблокировать бесполезно. 

"Достали" Microsoft и Касперский со своей политикой блокировки icmp echo, это я как представитель провайдера говорю. ;-)

присоединяюсь к просящему... ;)

Продукт более не поддерживается. Если актуально, то необходимо перевешать на новый поддерживаемый репозиторий (p10, p11, Sisyphus).