Je nutné pochopit, co znamená conntrack a tedy stavový firewall. Pak to bude jasné. Povolení ESTABLISHED na začátku totiž znamená propuštění všech paketů, které přijdou v rámci již existující konexe. Takže pokud máš jen tohle a drop hned poté, tak jsou povolené jen konexe které byly vyvolány z routeru (jde-li o input). Nikdo tedy není schopen navázat spojení na ten router (nijak ... zbude ti jen RS232 konzole). Na forwardu to platí samozřejmě také. Proto tam musí být před dropem ACCEPT paketů přicházejících z LAN, aby se ta konexe vůbec byla schopná vytvořit.
Konexe není myšlena jako probíhající TCP spojení. Pak nejde do hlavy pochopení konexe UDP, ICMP atp. Konexe znamená záznam o provozu PROTOKOL->IP (zjednodušeně píšu, porty všude nejsou). Čili ji vytvoří hned první paket. A končí buď nějakým timeoutem, není-li přes ní už provoz, nebo prakticky okamžitě, lze-li to poznat (např. u TCP protokolu).
