iptables

попробовать на connect в INPUT прописать дроп, а для FORWARD разрешить?

Я для таких целей использую модуль psd.
Он специально предназначен для защиты от сканирования.

Junior.

напиши правила ACCEPT для сервисов которые работают на шлюзе а остальные в DROP - iptables -P INPUT DROP. ну и форвард политику поставь также а те хосты которые форвардятся пропиши iptables -A FORWARD -s ip_host -j ACCEPT и iptables -A FORWARD -d ip_host -j ACCEPT. желательно настроить и для цепочки OUTPUT - а самое лучшее изучить iptables-HOW-TO :)

Лучше не DROP, а REJECT. 
А то так недолго и DoS получить, если тачка 
до ума плохо доведена :)

Junior.

у меня настройки DROP работают на 3 серверах без проблем, в день скидывается по несколько мегабайт на машину, зачем платить вышестоящему прову за обратный бесполезный трафик ?

Если говорить о трафике, то никакие правила не спасают от флуда
 сервера, все равно трафик идет на тебя, пусть ты даже не отвечаешь, но
 он идет.