Il discorso e' diverso.
L'uso piu' comune del firewall e' prevenire l'accesso ai servizi dall'esterno dove servizio==porta aperta.

Tipicamente su una macchina linux sai _con esattezza_ i servizi che la stessa eroga e quali porte hai aperte verso l'esterno.
Questo pero' non significa che tutti i servizi devono essere accessibili dall'esterno.
Se installi mysql server questo girera' sulla sua porta ed essa sara' aperta (se la macchina e' pubblica) anche dall'esterno.
Anche se imposto mysql per essere accessibile solo da rete locale c'e' sempre la possibilita' che una falla di sicurezza del pacchetto ti esponga ad incursioni: da qui' la motivazione di chiudere, se non serve, la porta di mysql verso l'esterno con un firewall.

I siti di sopra immagino controllino che non ci siano sulla tua macchina servizi esotici e quindi probabili malware ad infettare la macchina, ma questo e' diverso dalla regola aurea del sysadmin: chiudi tutto ed apri _solo_ cio' che serve.

Un firewall di base serve a questo scopo: chiudere tutte le porte dall'esterno (per prevenire esposizioni inutili a causa di falle di sicurezza del software, tutt'altro che incomuni) e mantenere aperte solo quelle dei servizi che eroghi (ssh, apache... boh... ) ....
Ovviamente seguire i security fix e mantenere la macchina aggiornata e' un must, firewall o meno.

Ciau

Quale firewall usare? In linux esiste Netfilter/Iptables, uno dei migliori in circolazione (in senso assoluto). Debian, nei suoi vasti repository, fornisce anche i paccheti precompilati per molti frontend, da shorewall a guarddog a firestarter, ma il maggior livello di configurazione lo ottieni soltanto settando iptables a mano...

Per info www.netfilter.org

Perdonate... l' intrusione..... tanto per rimanere in tema...

Purple... hai effettuato il tuo test sul tuo vero indirizzo ip o su di un indirizzo pubblico... (tipo indirizzo pubblico e privato di fastweb, per intenderci)

Sarei curioso di saperlo..

Ciao.

Mi sa che più che Debian nel tuo caso è Fastweb a renderti intrinsecamente sicuro... se non erro Fastweb impedisce a chiunque di connettersi alla tua macchina, quindi anche se apri una versione iper-buggata di Apache sulla porta 80 nessuno se ne accorge.
BTW i port scanner che citi non sono il massimo, soprattutto pcflank; ti consiglio di usare questo.