1. Проверяем /etc/dpi/fastdpi.conf параметр black_list_sm=1 ?
Да - услуга включена, все нормально, то есть блокировка работает не глобально для всех.

2. На проверочном абоненте (ip/логин) убедиться, что услуга выключена:

fdpi_ctrl list --service 4 --ip 192.168.1.60 
1/0/1 - удалена услуга
1/1/0 - услуга в наличии
Result processing ip=192.168.1.60 : 1/0/1
- услуга выключена

3. Установить в конфигурации /etc/dpi/fastdpi.conf IP адрес отключенного абонента:

trace_ip=<IP>
Сделать после установки:
service fastdpi reload

Сделать запрос на тестовом ПК на ресурс metfen.com

Проверяем в логе по тестовому сайту:
grep -A5 metfen fastdpi_slave_?.log
или
cat fastdpi_slave_?.log | grep metfen.com -A 5

HTTP_HOST=_metfen.com_
HTTP_REFERER(0)=_null_
HTTP_USER-AGENT=_Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) 
Chrome/43.0.2357.65 Safari/537.36_
HTTP_COOKIE=_null_
[TRACE   ][001693490086826396][2888570700] CHECK_HTTP : URL=_/_
      HTTP_HOST=_metfen.com_
      HTTP_REFERER=_null_
      blocked=0
      new_prg_id=0
      
Как видно blocked = 0 переадресации нет, new_prg_id=0 означает не подключено ни одной услуги.
СКАТ - переадресацию/блокировку не проводит.

4. Снять дамп обращений на запрещенный ресурс на отключенном абоненте с помощью например fiddler, если перадресация осталась, то проблема на странице блокировке - отсутствует информация по ее кэшированию на стороне браузера, и соответственно браузер сам перенаправляет запрос, а не СКАТ.
Для того что бы этого не происходило надо использовать:

Cache-Control: max-age=0, no-cache, no-store, must-revalidate
Pragma: no-cache