тогда какая разница между лукап и лукап онли?
Чтобы корректно работал лукап онли нужно или все остальные доступные сети прописать в именованную таблицу или ПЕРЕД правилом с лукапонли прописать явные руллсы в нужные сети. Как по мне - делеко не оптимально.
Если на это забить, то, например, из локалки не будет пинговаться внешний адрес резервного провайдера.