utilizza "--sport" in INPUT per permettere il traffico solo dal server mysql dalla porta 3306.

ciao