problemas com iptables layer 7 [RESOLVIDO]

Oi tudo bom, eu preciso de ajuda pois tenho um debian com Iptables layer7 funcionando.
Mas estou tendo problemas ao usar politicas default drop, pois ele aceita o comando nenhum erro mas ao testar ele naum está liberando o protocolo.

Ex. não funcionado

iptables -P INPUT DROP
resto do script iptables..

iptables -A INPUT -m layer7 --l7proto ssh -J ACCEPT

e se eu fizer assim funciona normalmente.

Ex.

iptables -P INPUT ACCEPT

script iptables

iptables -A INPUT -m layer7 --l7proto ssh -J DROP

O problema não paprece estar no match layer7, mas na sintaxe.
Digo, para o kernel saber que um pacote é "SSH" ele precisa "bater" alguns pacotes. Acredito que nesta ordem as regras funcionariam:

iptables -P INPUT DROP
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m layer7 --l7proto ssh -j ACCEPT

Obrigado..
valeu a força vou testa e digo se funcionou..

Somente com essa regra não funcionou..
testei da seguinte forma e funcionou..

iptables -A INPUT -p tcp --syn -j ACCEPT
iptables -A INPUT -m layer7 --l7proto ssh -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

A conexão foi aceita porem nenhum pacote passoou pela regra de layer 7 que aceita o ssh.

Bah, estou com mesmo problema, meu layer 7 so dropa não aceita. se conseguir eu posto aqui, eu tentei ja estas regras

Fiz alguns testes com as seguintes regras:
iptables -A INPUT -p tcp --syn -m layer7 --l7proto ssh -j ACCEPT
$iptables -A INPUT -m state --state RELATED,ESTABLISHED -m layer7 --l7proto ssh -j ACCEPT

Porém nenhum pacote passou por elas quando eu fiz os testes.

Utilizo o l7 para realizar fitros ou liberação somente na cadeia FORWARD!! Eu creio que so funcione nesta cadeia pelos teste que fiz os pacotes não casam com as regras de INPUT mesmo vindo antes de todas !!

Oi ....

Eu também utilizo o layer 7 e gostaria de saber se alguém ja testou utilizando a tabela mangle?!.

Boa Tarde Katiele,

Postei recentemente um topico sobre esta questão !! Vamos discutir esta questão nele ok ? O nome e
Connection Tracking para Layer7