Witam

Według założenia warto port wystawiony na zewnątrz czyli na WAN zabezpieczyć i tutaj można użyć opcji limitowania połączeń od strony WAN
zatem czy taki zapis wyczerpie założenie aby dodatkowo takie adresy po przekroczeniu ustalonego limitu wpadały do ipset WON i odnawiały się po upływie
-timeout 8640000 ???

iptables -t mangle -I PREROUTING -p tcp -m multiport --dports 44443,44444 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j SET --add-set WON src --exist --timeout 8640000

iptables -t mangle -I PREROUTING -p tcp -m multiport --dports 44443,44444 -m connlimit --connlimit-above 5 --connlimit-mask 32 -m limit --limit 3/minute --limit-burst 5 -j LOG --log-prefix "sptables:CONNLIMIT:" --log-level 4