>политику по дефолту в OUTPUT в DROP - это сильный ход. :)))) Далеко пойдете.

А мне нравится. :-] http:/openforum/vsluhforumID10/3779.html#4

[...]
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
[...]
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED -j ACCEPT
-A OUTPUT -m limit --limit 1/sec -j LOG --log-prefix "'OUT-unknown:'"
-A OUTPUT -j DROP