*filter
:INPUT ACCEPT [0:0]
# accept established, related
-A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# accept trusted ips
-A INPUT -s 12.34.56.78/32 -i eth0 -j ACCEPT
# drop invalid, untracked
-A INPUT -i eth0 -m state --state INVALID,UNTRACKED -j DROP
# drop from banned list
-A INPUT -i eth0 -m set --match-set banned src -j DROP
# accept service ports
# http
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
# https
-A INPUT -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT
# add others to ipset list
-A INPUT -i eth0 -m state --state NEW -m recent --set --name BANNED --mask 255.255.255.255 --rsource -j SET --add-set banned src
# drop others
-A INPUT -i eth0 -j DROP
COMMIT
Мне ещё подсказали, что можно получать данные через com-коннектор, буду изучать этот вариант.