tcp扩展
-p：指定数据包中的协议类型（tcp、udp、icmp） -p tcp --sport：指定的源端口 -p tcp --dport：指定的目的端口 -p tcp --tcp-flags 列表1 列表2：列表1指定要检查的标志位，列表2指定列表1中必须为1的标志位，如果在列表1中有，但是在列表2中没有，那这个标志位必须为0 例子：将数据包源ip为1.2.3.4，协议类型为tcp，目标端口为22的数据包放行 # iptables -t filter -A INPUT -s 1.2.3.4 -p tcp --dport 22 -j ACCEPT 例子：将数据包源ip为1.2.3.4，三次握手的第一次数据包丢弃 # iptables -t filter -A INPUT -s 1.2.3.4 -p tcp --tcp-flags syn,ack,fin syn -j DROP 补充：匹配三次握手的第一次，也就是syn=1 fin=0 ack=0的数据包的写法 # iptables -t filter -A INPUT -s 1.2.3.4 -p tcp --syn -j DROP
icmp扩展
-p icmp --icmp-type 例子：将客户端ip为1.2.3.4的主机所发送的ping包放行 # iptables -t filter -A INPUT -s 1.2.3.4 -p icmp -j ACCEPT
udp扩展
-p udp --sport：指定的源端口 -p udp --dport：指定的目的端口