Потому, что так написаны правила.
Первый SYN-пакет у вас не будет записан, так как меньше 500 байт, и пойдет дальше, где будет принят согласно -P INPUT ACCEPT
, а все последующие пакеты в рамках уже установленного соединения будут приниматься раньше, чем правило логирования, согласно --ctstate ESTABLISHED,RELATED -j ACCEPT
Порядок имеет значение, а действия вроде DROP или ACCEPT - являются терминирующими, после них пакет дальше не идет по цепочке правил