Em um mundo sem NAT, sem firewalls com informações de estado e com cada interface tendo endereços com IPs publicamente roteáveis, isso não seria necessário. Mas nós não vivemos nesse mundo. Vivemos em um mundo onde uma conexão típica geralmente passa por vários firewalls e dispositivos NAT.
Basicamente, você está tendo um problema de roteamento assimétrico .
Asymmetric routing is not a problem by itself, but will cause problems when Network Address Translation (NAT) or firewalls are used in the routed path.
Quando um dispositivo cliente faz uma conexão ssh com seu host, ele terá o ip / porta de destino ip / porta src nos cabeçalhos tcp / ip. Os pacotes de resposta terão o ip / porta src da interface do ssh que será usada para responder e o endereço / porta de destino do host remoto. No seu exemplo aqui, você tem duas maneiras que os pacotes recebidos podem chegar até você, e a rota de saída padrão é diferente do endereço de entrada que será usado. Sem as regras adicionadas, o pacote de resposta é enviado, ele terá um ip / porta src diferente do que o firewall do cliente ssh estava esperando com base no que foi usado com o pacote de saída que foi enviado. Como o destino no pacote de saída não é o mesmo da fonte na resposta, ele pode ser rejeitado por um firewall ou pode não corresponder a algo em sua tabela de estado NAT.
As regras que você coloca em prática basicamente forçam o sistema de entrada a responder a partir da interface na qual ele recebeu a solicitação, significando que todos os endereços corresponderão corretamente, e os pacotes serão permitidos através de qualquer firewall.