Firewall fechadim de td :)) (olhem please)

Pessoal,
Eu tenho uma maquina em um DC.
Nela eu preciso apenas de serviço http e ela precisa enviar e-mail (função mail() do PHP) e o resto quero fecha td.

Eu tive um problema onde algum safadim conseguiu instalar uma budeguinha q fazia ataque ddos em outros servers, e o DC fez o favor de desligar minha maquina.

Eu pesquisei sobre o ataque ddos e vi que ele é feito via rotocolo udp. Como o firewall é soberano pensei que mesmo q eu tenha uma parada dess na maquina, se tiver um firewall legalzim rodando, não devo ter problemas.

Fiz um fire e gostaria de dicas sobre o que preciso melhorar nele ou se ele tem alguma mancada séria :p... postem please!!!

segue abaixo!


#!/bin/sh

DNS_PRI="192.168.0.1"
DNS_SEC="192.168.0.20"


# LIMPANDO REGISTROS ANTERIORES
/sbin/iptables -t filter -F
/sbin/iptables -t nat -F
/sbin/iptables -t mangle -F
/sbin/iptables -Z

## DEFININDO POLITICAS
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT DROP


/sbin/iptables -A INPUT -i eth0 -f -j DROP


## ACEITA ssh (porta 22)
/sbin/iptables -A INPUT -p tcp -m tcp --syn --dport 22 -j ACCEPT

## ACEITA PORTAS PARA ENVIAR E-MAILS e HHTP
/sbin/iptables -A INPUT -p tcp -m tcp --syn --dport 25 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --syn --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -s $DNS_PRI -p udp -m udp --sport 53 -j ACCEPT
/sbin/iptables -A OUTPUT -d $DNS_PRI -p udp -m udp --dport 53 -j ACCEPT
/sbin/iptables -A INPUT -s $DNS_SEC -p udp -m udp --sport 53 -j ACCEPT
/sbin/iptables -A OUTPUT -d $DNS_SEC -p udp -m udp --dport 53 -j ACCEPT

## ACEITA PING
/sbin/iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT


## LIBERA PARA CONEXÕES ESTABILIZADAS
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

## BLOQUEIA IPS INVÃDOS NA INTERFACE LO
/sbin/iptables -A INPUT -s 127.0.0.0/8 -i ! lo -j DROP
/sbin/iptables -A INPUT -s 10.0.0.0/8 -i ! lo -j DROP
/sbin/iptables -A INPUT -s 192.168.0.0/16 -i ! lo -j DROP
/sbin/iptables -A INPUT -s 224.0.0.0/4 -i ! lo -j DROP
/sbin/iptables -A INPUT -s 0.0.0.0/8 -i ! lo -j DROP
/sbin/iptables -A INPUT -s 255.255.255.255 -i ! lo -j DROP
/sbin/iptables -A INPUT -s 169.254.0.0/16 -i ! lo -j DROP

/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT

/sbin/iptables -A INPUT -m state --state NEW -j REJECT
/sbin/iptables -A OUTPUT -m state --state NEW -j REJECT
/sbin/iptables -A FORWARD -m state --state NEW -j REJECT