Правило established не срабатывает на пакетах, где вместе с SYN установлен флаг ECE.
vulners.com/securityvulns/securityvulns:doc:1201