Думаю, стоит ли OUTPUT дропать или нет?

Т.е., есть тут опасность или нет?
Если на INPUT стоит DROP снаруже хрен прорвешься =).

s/снаруже/снаружи =)

Да!
Потом iptables -v -L, посмотришь сколько пакетов дропануло ;)

До 2002 года не дропал, потом стал дропать. Так спокойнее.

В том-то и дело, что для того, чтоб подломить, надо через INPUT 
прорваться, а OUTPUT, этож всегда "свои" =)))

Вот, сижу и туплю!

А если INPUT проломят?

Дык если локалка и DHCP - то ясен перец нужно OUTPUT резать, разрешая свободный выход только на паблики типа 80, 21, etc.

ОУТПУТ, если и фильтровать, то не ДРОПать, а РЕДЖЕКТить, ибо есть нюансы.

ДРОП придуман, чтобы подосрать злоумышленнику, а не себе самому.

Кстати да =) Что-то сработал стереотип =)

Да имеет - что бы не смогли так просто зделать backconnect

#ifdef PARANOID_MODE
#define PUT_RULES_TO_OUTPUT
#fi

IMHO конечно же. А если и делать, то только с -m owner, иначе смысла я не вижу.

>Дык если локалка и DHCP - то ясен перец нужно OUTPUT резать

а не FORWARD, если уж о локалке говоришь?