Ja, stimmt. Daran hatte ich nicht gedacht. Aber es ist trotzdem nicht wirklich gut.
Da habe ich dann aber einen komplett exposed Host, wo ich nur einen einzigen Dienst brauche.
Ja, die default Policy für out ist ACCEPT, denn die VMs in der DMZ müssen mit dem Internet kommunizieren und so spare...