Por que no mejor si esta todo en DROP simple mente le permites a una sola ip que ingrese al 22 y asi te ahorras que todos ingresen, por ejemplo:

/sbin/iptables -A INPUT -i eth0 -s 172.16.0.20 -p tcp --dport 22 -j ACCEPT

/sbin/iptables -A OUTPUT -o eth0 -d 172.16.0.20 -p tcp --sport 22 -j ACCEPT

Como es DROP con esta regla solo permites que la IP por ejemplo que sea del administrador desde la Red local "eth0" que tenga la ip 172.16.0.20.