操作iptables时应特别注意规则的顺序

oracle在centos本机能够正常访问,关闭防火墙也能够远程访问，但是一旦开启防火墙则不能远程访问

尝试添加规则iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 1521 -j ACCEPT，但是仍然不能远程访问

尝试vi /etc/sysconfig/iptables,修改配置添加-A INPUT -m state --state NEW -m tcp -p tcp --dport 1521 -j ACCEPT，保存返回，然后service iptables restart,仍然不能远程访问。

观察iptables的执行时规则：iptables -L -n,发现如下：

手动添加方形规则在reject-with icmp-host-prohibited,从规则上看，该reject是拒绝所有icmp

iptables执行规则时，是从从规则表中从上至下顺序执行的，如果没遇到匹配的规则，就一条一条往下执行，如果遇到匹配的规则后，那么就执行本规则，执行后根据本规则的动作(accept, reject, log等)，决定下一步执行的情况。

那么1521的请求就很有可能被此规则匹配了。

重新编辑vi /etc/sysconfig/iptables,将自己的规则置于reject规则之前：

保存重启:service iptables restart

问题解决。