ваши рекомендации по ipchains

я только рабираюсь с ними (сильно не пинать), вот настроил правила
для инета, не подскажете, что не открыл, что прикрыть следует?
вообще хоть правильно? (policy везде DENY)


#in
/sbin/ipchains -A input -i ppp1 -p TCP --sport domain -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p UDP --sport domain -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p TCP --sport nameserver -d $IPLOCAL -j ACCEPT

/sbin/ipchains -A input -i ppp1 -p TCP --sport www -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p UDP --sport www -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p TCP --sport ftp -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p TCP --sport ftp-data -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p TCP --sport pop3 -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p TCP --sport smtp -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p TCP --sport nntp -d $IPLOCAL -j ACCEPT

/sbin/ipchains -A input -i ppp1 -p udp -s 0/0 -d $IPLOCAL -j ACCEPT

/sbin/ipchains -A input -i ppp1 -p ICMP --icmp-type destination-unreachable -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p ICMP --icmp-type source-quench -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p ICMP --icmp-type time-exceeded -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p ICMP --icmp-type parameter-problem -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p ICMP --icmp-type ping -d $IPLOCAL -j ACCEPT
/sbin/ipchains -A input -i ppp1 -p ICMP --icmp-type pong -d $IPLOCAL -j ACCEPT

#out
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport domain -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p UDP -s $IPLOCAL --dport domain -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport nameserver -j ACCEPT

/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport www -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p UDP -s $IPLOCAL --dport www -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport ftp -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport ftp-data -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport pop3 -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport smtp -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p TCP -s $IPLOCAL --dport nntp -j ACCEPT

/sbin/ipchains -A output -p udp -s $IPLOCAL -d 0/0 -j ACCEPT

/sbin/ipchains -A output -i ppp1 -p ICMP --icmp-type destination-unreachable -s $IPLOCAL -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p ICMP --icmp-type source-quench -s $IPLOCAL -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p ICMP --icmp-type time-exceeded -s $IPLOCAL -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p ICMP --icmp-type parameter-problem -s $IPLOCAL -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p ICMP --icmp-type ping -s $IPLOCAL -j ACCEPT
/sbin/ipchains -A output -i ppp1 -p ICMP --icmp-type pong -s $IPLOCAL -j ACCEPT