Может, оно и правильно. Только, разумеется, речь идет о том, что рутовый доступ только внутри локалки, можно даже ограничить конкретным IP. Просто, например, ту же прошивку на контроллере обновлять через консоль гораздо удобнее, чем перезагружаться в ДОС и шить через досовую утилиту. Да и рутовый доступ через SSH можно давать лишь на время, нужное для подобных операций.
PS У меня, кстати, вся эта братия (Китай, Корея и прочая Ю-В Азия) вообще заблокирована через GeoIP еще на роутере, но это как антиспамовая мера.