Дамп снимался на интерфейсе устройства, которое возвращает 'нормальные' keepalive (.1). Ради эксперимента я между ними ещё 1 MKT поставил с firewall, который дропает invalid connection'ы: такие keepalive продолжили проходить. Вот и думаю, что такие пакеты где-то в инете могут дропаться как инвалидные. Интерес появился после обращений 2-х клиентов с GRE-туннелями с похожими проблемами.