一、基本匹配条件

• 无需加载模块，由iptables/netfilter自行提供。
• [!] -s：源IP地址或者不连续的IP地址。
• [!] -d：目标IP地址或者不连续的IP地址。
• [!] -p：指定协议，可使用数字如0(all)。
  • protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or“all“，参看:/etc/protocols。
• [!] -i：报文流入的接口;只能应用于数据报文流入环节。
  • 应用于INPUT、 FORWARD、PREROUTING链。
• [!] -o：报文流出的接口;只能应用于数据报文流出的环节。
  • 只应用于 FORWARD、OUTPUT、POSTROUTING链。

范例一：增加目的地址选项来匹配报文中的内容。

# 增加-d选项来匹配报文中的内容，使报文不通过IP地址为192.168.1.11进入主机。
iptables -t filter -AINPUT -s 192.168.1.10 -d 192.168.1.11 -j DROP

范例二：增加协议选项来匹配报文中的内容。

# 增加icmp协议来匹配报文中的内容，来实现禁ping。其他功能不受影响，比如ssh，ssh基于TCP协议。
iptables -t filter -A INPUT -s 192.168.1.1 -p icmp -j REJECT

范例三：增加进网卡选项来控制报文流向。

# 增加-i选项，使所有报文不通过eth0网卡进入主机。
iptables -t filter -AINPUT -i eth0 -j DROP

范例四：增加出网卡选项 来控制报文流向。

# 增加-o选项，使所有报文不通过eth0网卡输出主机
iptables -t filter -A INPUT -o eth0 -j DROP