firewall: fix handling of tcp_ecn parameter