Стандартные правила для iptables на веб-сервере
Я использую такие правила:

# Generated by iptables-save v1.4.8 on Mon Apr 15 18:10:08 2013
*filter

:INPUT DROP [300714:91562726]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [7340517:3206938910]

-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP 

-A INPUT -i lo -j ACCEPT 

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 

-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 

-A INPUT -s 10.10.13.0/24 -j ACCEPT 

-A INPUT -s 10.20.32.46/32 -p tcp -m tcp --dport 22 -j ACCEPT 

-A INPUT -s 10.201.52.201/32 -p tcp -m tcp --dport 22 -j ACCEPT 

-A INPUT -s 10.10.10.6/32 -p tcp -m tcp --dport 3306 -j ACCEPT 

COMMIT

# Completed on Mon Apr 15 18:10:08 2013


Здесь разрешен весь трафик на 80 порт, весь трафик из «доверенной» подсети 10.10.13.0/24 трафик на 22 порт от некоторых хостов и доступ в mysql с 10.10.10.6.

Собственно «стандартные» правила для вебсервера — это:

*filter
:INPUT DROP [300714:91562726]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [7340517:3206938910]
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP 
-A INPUT -i lo -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -s ВАШАСЕТЬ -p tcp -m tcp --dport 22 -j ACCEPT 
COMMIT
# Completed on Mon Apr 15 18:10:08 2013

Остальное накручивается в зависимости от вашей паранойи.
Это, конечно же, невежливо, но:
lmgtfy.com/?q=iptables+rules+web+server