iptables - oq vem primeiro (accept x drop) ?

ae galera, abri outro topico pra colher mais opiniões
oq vcs acham q deve vir primeiro nas regras?

1. exemplo:
$iptables -A INPUT -p tcp -s $lan --dport 21 -j ACCEPT
$iptables -A INPUT -p tcp --dport 21 -j DROP

2. exemplo:
$iptables -A INPUT -p tcp --dport 21 -j DROP
$iptables -A INPUT -p tcp -s $lan --dport 21 -j ACCEPT

bom, pelo que tá funcionando aqui, qdo o negócio é INPUT, tem que ser o exemplo 1! primeiro abre pra quem precisar, depois fecha pra todo mundo. logicamente, seguindo como se fosse 1 programa, creio que faz mais sentido tb, pq o kernel ou sei la oq, viria lendo o programa (script do fw) e quando chegasse ali, se fosse drop primeiro, ele ja pulava tudo akilo. não? sugestões!!!

já quando se trata de FORWARD, seria a mesma lógica, mas aqui num vai nem com reza braba!!! eu tenho que usar a política drop e depois liberar. tanto faz se por accept antes ou depois, não resolve. só usando política mesmo