Vous supposez peut-être qu'il existe un "refus par défaut" implicite :il n'y en a pas.
ALL EXCEPT 192.168.122.1 ne s'applique tout simplement pas à l'hôte 192.168.122.1, les entrées suivantes sont donc vérifiées.
En supposant que vous n'ayez pas d'ancien tcpwrappers (c'est-à-dire qu'il prend en charge et a été construit avec -DHOSTS_ACCESS ) vous ne devriez vraiment utiliser que hosts.allow :
sshd: 192.168.122.1 : DENY
sshd: ALL : ALLOW
(Notez que autorisation par défaut est une mauvaise pratique bien sûr)