'Any -> Any -> Any' and we still see "Default Drop"???

This is a security matter ... Any -> Any -> Any would disable security at all. So this turns to a drop all rule.

No, most everything gets through

many of the drops are NETBIOS LS (TCP/UDP 135)

Packets hitting the Network or Broadcast addresses don't get covered by a ANY rule.
You'd need another rule to Allow them (although there's not point unless you're bridging) or Drop them with or without logging.

Normally I drop internal broadcasts without logging.

Barry

Packets hitting the Network or Broadcast addresses don't get covered by a ANY rule.
You'd need another rule to Allow them (although there's not point unless you're bridging) or Drop them with or without logging.

Normally I drop internal broadcasts without logging.

Barry

These were coming from the outside and hitting external IPs.

Ohhh, wait a minute.  Those were to Additional Addresses on ports NOT relayed by my DNAT rule; of course they were dropped - where was the poor firewall gonna send those messages anyway?

Pay no attention to the man behind the curtain!*

Cheers - Bob
*A "Wizard of Oz" reference.