> Przesadzasz. Serwerowe wersje instalatorów nie wystawią mu na świat nic
> poza ssh, więc na dzień dobry nic nie trzeba blokować.
>
>

a nawet gdyby trzeba było to co za problem wstawić do /etc/init.d (albo
nawet do /etc/rc.local jak Mu się nie chce/nie umie pisać skryptów
startowych) skrypcik z zawartością:

/sbin/iptables -P INPUT DROP
/sbin/iptables -A INPUT -p tcp --dport $PortSSH -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport $JakisPort -j ACCEPT
/sbin/iptables -A INPUT -p udp --dport $JakisPort -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport ............
/sbin/iptables -A INPUT -p udp --dport ............
...
...

Dodatkowo można zainstalować fail2ban coby jakieś bruteforce blokowało
oraz ssh skonfigurować na logowanie tylko kluczem i tyle.

No i pamiętać o regularnym "apt-get update/dist-upgrade"

--
Pozdrawiam,

Mariusz