chain input se týká paketů, které přijdou na router a zůstanou tam. Na ROS mu MySQL určitě neběží. Čili to musí být ve forward.
V lokální síti také leckdy nic moc omezovat nejde. Většinou je to přes switch a routeru se to netýká. Pak zbývají buď ACL na lepších switchích, nebo bridge filter (je-li to softwarový switch na mikrotiku). Případně firewally na serverech samotných.
Ale jinak bych řekl, že je ten firewall postavený špatně. Základ je:
a) zevnitř ven se omezovat většinou nemusí
b) je potřeba ochránit router sám, tedy na inputu, především z WAN strany.
c) zvenku dovnitř zakázat všechno, povolovat jen výjimky. Pak nehrozí, že si omylem něco vystavíš na internet.
