Dotaz: Shorewall icmp rate limit

[pavel]

Dobrý den, snažím se nastavit rate limit pro příchozí icmp-ping.

Soubor /etc/shorewall/policy:
#SOURCE         DEST            POLICY          LOG             LIMIT:BURST
#                                               LEVEL
fw      net     ACCEPT
net     fw      DROP
net     all      DROP
all     all       REJECT  info

Soubor /etc/shorewall/zones
#ZONE   TYPE            OPTIONS         IN                      OUT
#                                       OPTIONS                 OPTIONS
net     ipv4
fw      firewall

Soubor /etc/shorewall/rules
#ACTION  SOURCE  DEST     PROTO   DEST    SOURCE          ORIGINAL        RATE            USER/
#                                                                    PORT    PORT(S)                 
   DEST            LIMIT           GROUP
#smtp
ACCEPT   net              fw              tcp         25
ACCEPT   net              fw              udp        25
#name domain
ACCEPT   net              fw              tcp         53
ACCEPT   net              fw              udp        53
#http
ACCEPT   net              fw              tcp         80
ACCEPT   net              fw              udp        80
#pop3
ACCEPT   net              fw              tcp         103
ACCEPT   net              fw              udp        103
#https
ACCEPT   net              fw              tcp         443
ACCEPT   net              fw              udp        443
#icmp
ACCEPT   net              fw             icmp        0,8,11        -                      -                 1/min:1

Příchozí ping funguje, ale bez omezení (z jiného stroje mohu provést třeba 100x ping na toto PC). Pokud odstraním toto pravidlo:

ACCEPT   net              fw             icmp        0,8,11        -                      -                 1/min:1

a do /etc/shorewall/started napíši:

iptables -I INPUT -p icmp -m recent --set
iptables -I INPUT -p icmp -m recent --update --seconds 60 --hitcount 1 -j DROP

vše funguje, jak má.
Jak toto pravidlo dosadit do  /etc/shorewall/rules?
Testováno na Shorewall 3.x a Shorewall 4.4 se stejným výsledkem.

Na otázku zatím nikdo bohužel neodpověděl.