Странные правила получаются
Пропускать установку соединения, но не пропускать дальнейшие пакеты
На ум приходит только фильтрация по источнику, пускать своих, по каким-то признакам, но и в этом случае такое можно было бы делать уже на этапе установки соединения