>>27
失礼、ほとんどデフォルトのままだからあまり説明する必要はないと思いまして（苦笑）
要するに、外（The Internet）からVNC（ポート5901）をアクセスできないようにしたいのです。
で、中（192.168.0.0/24）からだけはOK、ということで
DROP tcp -- anywhere anywhere tcp dpt:5901
ACCEPT tcp -- 192.168.0.0/24 192.168.0.2 tcp dpt:5901
と設定したのですが、VNCのクライアントから「61.206.***.***:1」と入力するとアクセス出来てしまう、というワケです。