Ooch, so ein UDP-Tunnel auf 123 <-> 123 wäre sicher ein gut getarnte C2-Kommunikation ...
ach komm wenn dein host einen Dienst hat der permanent auf 123 lauscht ohne das du es wolltest ist eh schon was schief gelaufen da wird auch der offnen "Allow Incoming UDP 123" nichts mehr ändern wenn in dem Moment nicht der Chrony auf Antwort wartet 
Naja bei H*tz|\|3r brauch ich die Regeln auf der Firewall für den incoming Chrony response traffic nicht die ist wohl stateful und nach dem ich mir bei Chrony nicht wirklich sorgen mache über NTP amplification was wahrscheinlich der einzige wirkliche Angriffs Vektor wäre reicht für mich und mein Wordpress blog den incoming UDP traffic auf Dest. 123 zu erlauben. Besser als alle 4 Monate den Server zu booten weil meine TFA codes nicht mehr validieren ... (jetzt schon zwei mal vorgekommen 
)