いまさらなんですが
ip filter 11 pass * 192.168.0.0/24 icmp * *
として
ip pp secure filter in 11

のようにフィルターをin方向に設定しますが、グローバル側からLAN側へプライベートアドレスを
指定してのpingは通りませんよね。
（フィルタ以前の問題として、プライベートアドレスはプロバイダのルーティング対象から外れるし）
したがって、このフィルタはプライベートアドレスへのicmp応答パケットを通しなさいという意味だと思います。
LAN 側から　インターネット上のホストにping　を打ったときなどの応答。

一方
ip filter 9 pass * * tcp * www
ip pp secure filter out 9

または、
ip filter 9 dynamic * * www
ip pp secure filter dynamic 9

のようにして、in 側への許可を設定しなくても
tcp や udp だと、IP マスカレードしていても、外側から内側へ　「応答パケット」　を通してくれます。

icmp に関しては明示的に設定しないと、応答パケットが通らないようになっているのでしょうか？