iptables能够完全封住端口吗？

Stuka

今天闲着无事，用XScan 3.3扫描一台安装Sarge用于共享ADSL的防火墙。发现除允许开放的22以外，25和110居然也报告打开，说是“可能运行smtp和pop”。
防火墙针对INPUT的iptables规则如下：
iptables -P INPUT DROP
iptables -A INPUT -p tcp -i eth0 --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

其中eth0就是连接局域网的网卡。
这样的设置，应该是干掉了除“局域网连接SSH”和“由本地建立的连接返回的封包”以外的所有封包了。怎么还会报告25和110也打开了呢？

Stuka

提示 smtp (25/tcp) 开放服务

"smtp"服务可能运行于该端口.

NESSUS_ID : 10330

提示 pop3 (110/tcp) 开放服务

"pop3"服务可能运行于该端口.

NESSUS_ID : 10330