iptables layer 7

Oi tudo bom, eu preciso de ajuda pois tenho um debian com Iptables layer7 funcionando.
Mas estou tendo problemas ao usar politicas default drop, pois ele aceita o comando nenhum erro mas ao testar ele naum está liberando o protocolo.

Ex. não funcionado

iptables -P INPUT DROP
iptables -A INPUT -m layer7 --l7proto ssh -J ACCEPT

e se eu fizer assim funciona normalmente.

Ex.

iptables -P INPUT ACCEPT
iptables -A INPUT -m layer7 --l7proto ssh -J DROP

testei da seguinte forma e funcionou..

iptables -A INPUT -p tcp --syn -j ACCEPT
iptables -A INPUT -m layer7 --l7proto ssh -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

A conexão foi aceita porem nenhum pacote passoou pela regra de layer 7 que aceita o ssh.

desde já obrigado