traceroute -T
não faz o que parece que pensa. Ele usa um pacote TCP SYN para investigar a existência de um dispositivo. Sucesso significa que obteve algum tipo de resposta. É provável que tenha recebido uma resposta: conexão recusada.
Aqui está o Fine Manual:
This method uses well-known "half-open technique", which prevents applications on
the destination host from seeing our probes at all. Normally, a tcp syn is sent.
For non-listened ports we receive tcp reset, and all is done. For active listening
ports we receive tcp syn+ack, but answer by tcp reset (instead of expected tcp
ack), this way the remote tcp session is dropped even without the application ever
taking notice.