Правильная фильтрация пакетов

Прошу помощи. Поскольку я не специалист по сетевым протоколам, то что-то наворотить опасаюсь.
Суть в желании ограничить поток мусора, в том числе, противодействуя взлому и DDoS.
Как было

/sbin/iptables -A INPUT -i $INET -m conntrack --ctstate INVALID -j DROP
/sbin/iptables -A FORWARD -i $INET -m conntrack --ctstate INVALID -j DROP

/sbin/iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

/sbin/iptables -N INTCP
/sbin/iptables -A INPUT -i $INET -p tcp -j INTCP

/sbin/iptables -A INTCP -p tcp --tcp-flags ALL NONE -j DROP
/sbin/iptables -A INTCP -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
/sbin/iptables -A INTCP -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
/sbin/iptables -A INTCP -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
/sbin/iptables -A INTCP -p tcp --tcp-flags ACK,FIN FIN -j DROP
/sbin/iptables -A INTCP -p tcp --tcp-flags ACK,PSH PSH -j DROP
/sbin/iptables -A INTCP -p tcp --tcp-flags ACK,URG URG -j DROP

машина с NAT. И, к сожалению, есть предположения, что эти настройки где-то косячили, но бывало такое, что не работал тот же ютуб. Прошу подсказать, правильные ли настройки, что убрать, что добавить, что изменить и надо ли что-то делать с conntrack, а то его все время пилят и я уже запутался.