pfSense : règle masquée révélée par les compteurs pf

Un audit révèle que les postes du LAN (192.168.1.0/24) joignent le réseau d'administration 10.0.99.0/24, pourtant « interdit par une règle ». Sur pfsense-siege :

1. pfctl -vvsr | grep -A1 "USER_RULE" : règles du LAN et leurs compteurs
2. Numéro (@n) de la règle d'interdiction qui n'est jamais évaluée → answer masquee <n>
3. Numéro de la règle qui la masque → answer cause <n>
4. Correction dans l'interface → answer correction <deplacer-au-dessus|supprimer-la-regle-large|desactiver-le-log>
5. pfctl -si → nombre d'états actuels → answer etats <n>