Доброго, господа.
Я внезапно задумался, а имеет ли смысл делать полиси DROP для всех цепочек?
Вернее вопрос таков, правильно ли я понимаю, что если я сделаю дефолт полиси DROP для всех цепочек, то в каждой из чейнов всех таблиц, через которые проходит пакет, мне будет нужно явно разрешать ACCEPT для того же, к примеру, форвардинга?
Правильно ли я понимаю, что традиционно принято оставлять АССЕРТ как дефолт, а в нужной цепочке дропать неугодные пакеты? Не чешет ли подобный подход вашу паранойю?
С благодарностью прочитаю мнения уже думавших об этом и принявших решение.
В принципе в итоге все равно 99,9 трафика будет идти через сквид, но пока без него, да и чисто теоритически, повторюсь, интересно.
