[iptables][udp] А какие udp блочите вы?

пфф, а что, правило блочить всё, кроме очевидно нужного, уже не в моде?

Рубим все, окромя того, что нам явно нужно (dns, ntp, dhcp....) Список не такой уж большой, на самом деле.

Вот именно о том и спрашиваю. Акромя dns, dhcp вот и про ntp вспомнили. А что еще из служб требует udp? ftp passive - ну этот диапазон я могу сам указать - а еще?

ftp passive - это tcp.

Еще может быть самба, еще могут быть игровые сервера, tftp, керберосы... да мало ли, что кому может быть нужно.

Из вне блокируем все что движется, с локальной сети ничего не блокируем. А вообще conntrack вам в помощь и в таком случае вы в большенстве случаев сможете во всей цепочке INPUT иметь только одно правило:
iptables -A INPUT -j REJECT

Удачи.

я все блочу. А некоторые разрешаю конечно. Из не упомянутых - Kademlia & DHT для p2p.

i2p
torrent tracker / DHT
SIP (вроде тоже использует)

а вы организация какого типа ? и с какой целью фильтруете трафик ?

[code]iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m conntract --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP[/code]

А что еще из служб требует udp?

traceroute