правило -A OUTPUT -p tcp --tcp-flags RST RST -j DROP не имеет ни одного условия и глушит RST на всём хосте — сервер перестаёт нормально обрывать любые посторонние соединения (SSH, веб, всё подряд) и заодно палится: на закрытых портах он теперь отвечает тишиной вместо RST, то есть filtered вместо closed для любого сканера; стоит сузить хотя бы до портов туннеля или до -m owner --uid-owner.
исправить
правило -A OUTPUT -p tcp --tcp-flags RST RST -j DROP не имеет ни одного условия и глушит RST на всём хосте — сервер перестаёт нормально обрывать любые посторонние соединения (SSH, веб, всё подряд) и заодно палится: на закрытых портах он теперь отвечает тишиной вместо RST, то есть filtered вместо closed для любого сканера; стоит сузить хотя бы до портов туннеля или до -m owner --uid-owner.
исправить