Почему DNS пакеты не пролазят с этим правилом?

Потому-что подпадают под первое правило.

Второе же добавляет исключение?

Почитай вот это.

root@:/home/user# iptables -A OUTPUT -o eth0 -p udp --dport 53 -j ACCEPT
root@:/home/user# iptables -P OUTPUT DROP
root@:/home/user# host ya.ru
;; connection timed out; no servers could be reached

А в чем юмор?

Тьфу, теперь понял, я локалхост закрыл.

ты думаешь просто так все правила называются цепочкой, если пакет попадает под первое правило то на остальные оно не идет.

а ты старую цепочку затер?

А точно, я привык что junos сам подставляет глобальное правило вниз :)

можешь просто сделать:

-I OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT