Да, это само собой, firewall должен по умолчанию запрещать, а в скрипте должно стоять разрешение использовать ssh.
Также всем советую не изобретать велосипед, а использовать готовые скрипты для генерации правил, когда это возможно, под debian советую погляде shorewall.

одна из моих личных Best practice — если машина стоит более чем в метре от вашего раб. места, то файрволл лучше настроить заранее, чтобы потом не пришлось удаленно что-то настраивать рискуя обрубить себе возможность удаленного доступа :)
Даже если кажется, что файрволл не нужен на начальном этапе — он может понадобится в любой момент, а при ПЕРЕнастройке отследить ошибку проще, чем при начальной конфигурации.

GNU таким не балуется :)
А вот GPL позволяет такое, правда в триале код этой утилиты тоже должен быть открыт. Или по крайней мере разработчики должны любому пользователю триала по требованию выдавать эти исходники.