iptables -t filter -A input_rule -i $LAN -p TCP --dport 22 -m recent --name SSH --rcheck --hitcount 3 --seconds 120 -j LOG --log-prefix
iptables -t filter -A input_rule -i $LAN -p TCP --dport 22 -m recent --name SSH --update --hitcount 3 --seconds 120 -j DROP
iptables -t filter -A input_rule -i $LAN -p TCP --dport 22 -m recent --name SSH --set -j ACCEPT

iptables -t nat -A prerouting_rule -i $LAN -p tcp --dport 21 -j ACCEPT
iptables        -A input_rule      -i $LAN -p tcp --dport 21 -j ACCEPT

iptables -t nat -A prerouting_rule -i $LAN -p tcp --dport 20 -j ACCEPT
iptables        -A input_rule      -i $LAN -p tcp --dport 20 -j ACCEPT