whatsnew in realtà ICMP non usa le porte, giusto?
Esatto. ICMP è un protocollo allo stesso livello di TCP e UDP, e funziona dirottamente sopra IP. Ed il problema con MAP è esattamente questo. In gerere senza porte non c'è modo per il BR di sapere come procedere per l'inoltro fra le macchine che condivido l'IP. Per farlo dovrebbe mantenere una qualche forma di stato, ma i protocolli MAP sono stati pensati per alleggerire il lavoro del BR evitando di mantenerli al contrario di un CG-NAT classico.
Però ci sono specifiche (RFC 6145 e seguenti) per la gestione della transizione fra ICMP e ICMPv6, e le implementazione MAP-E dovrebbero rispettare quanto nella sezione 8.2 della RFC 7597
ICMP comunque è già un’eccezione, altri protocolli portless non hanno supporto. Nel tuo caso il comportamento è dovuto al fatto che anche il CE deve gestire correttamente ICMP in MAP-E (vedi link sopra), non credo che il pfSense lo faccia visto che non ha supporto esplicito, e quindi solo nel caso l'header contenga un valore casualmente corretto il BR sia in grado di inviare i pacchetti indietro correttamente.
