Любое приложение, которое ломится во внешний мир отрывает со своей стороны порт. Как правило, номер порта больше 1024 и имеет непривилигированный статус.
Определите, от вас устанавливается изначальное соеинение, или же к вам ломятся на порт, заранее открываемый приложением. Исходя из этого стройте политику защиты.

iptables -F

iptables -F
iptables -t mangle -F
iptables -t nat -F
iptables -X
iptables -t mangle -X
iptables -t nat -X

наверняка

[quote=vovanH]iptables -F
iptables -t mangle -F
iptables -t nat -F
iptables -X
iptables -t mangle -X
iptables -t nat -X

наверняка[/quote]
Смешно.. А я то тут голову ломаю..
А может еще винт форматнуть?

Вся фишка в том , что клиент ломится на порт который знает зараннее , но на этом все только начинается.
Сервер открывает новый порт и сообщает его клиенту. И клиент продолжает работу с новым (полученным ) портом.
Поэтому я не могу знать какой именно порт откроет сервер следующему клиенту.
Диапазон : 1024 - 65000.
Вот такой бермудский триугольник :)

Если неохота писать дополнительный модуль для поддержки протокола, то можно воспользоваться -m owner --cmd-owner имя_команды (если ядро поддерживает).

Спасибо NICK !!
Заработало я как-то на owner не обратил внимания..