Не обязательно Specific, но вероятно, что в какой-то антиспуфинг группе может быть. Если такая сеть/адрес есть за любым из внутренних интерфейсов, то такие же адреса с внешнего интерфейса должны блокироваться.
хм, вроде сходится - на одном из внутренних интерфейсов в Specific как раз указана подсеть, в которую входит адрес, который в логе сработки анти-спуффинга есть в качестве source. Видимо, в этом причина. Спасибо!