iptables 隐式扩展

tcp扩展

-p：指定数据包中的协议类型（tcp、udp、icmp）
-p tcp --sport：指定的源端口
-p tcp --dport：指定的目的端口
-p tcp --tcp-flags 列表1 列表2：列表1指定要检查的标志位，列表2指定列表1中必须为1的标志位，如果在列表1中有，但是在列表2中没有，那这个标志位必须为0

例子：将数据包源ip为1.2.3.4，协议类型为tcp，目标端口为22的数据包放行
# iptables -t filter -A INPUT -s 1.2.3.4 -p tcp --dport 22 -j ACCEPT

例子：将数据包源ip为1.2.3.4，三次握手的第一次数据包丢弃
# iptables -t filter -A INPUT -s 1.2.3.4 -p tcp --tcp-flags syn,ack,fin syn -j DROP

补充：匹配三次握手的第一次，也就是syn=1 fin=0 ack=0的数据包的写法
# iptables -t filter -A INPUT -s 1.2.3.4 -p tcp --syn -j DROP

icmp扩展

-p icmp --icmp-type

例子：将客户端ip为1.2.3.4的主机所发送的ping包放行
# iptables -t filter -A INPUT -s 1.2.3.4 -p icmp -j ACCEPT

udp扩展

-p udp --sport：指定的源端口
-p udp --dport：指定的目的端口