关于iptables -m选项以及规则的理解

关于iptables的详细状态可以查看http://os.51cto.com/art/201108/285209.htm

时常在服务器的防火墙上看到有这些规则，
2 106K 8294K ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED，我觉得有必要搞下这个iptables了
下面就来谈谈iptables
一.首先iptables有四种状态
NEW，ESTABLISHED，RELATED，INVALID。
NEW状态：主机连接目标主机，在目标主机上看到的第一个想要连接的包
ESTABLISHED状态：主机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进入该状态。
RELATED状态：主机已与目标主机进行通信，目标主机发起新的链接方式，例如ftp
INVALID状态：无效的封包，例如数据破损的封包状态

二.其次再来谈谈上述规则的作用
你会发现有这条
2 106K 8294K ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
经常又会看见这条规则
3 0 0 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited #其他主机不满足RELATED的情况，会给它返回host-prohibited

添加方式：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited
第二条规则的含义其实是：调用状态模块，匹配当状态为RELATED和ESTABLISHED的所有数据包通过，换句话说就是允许所有已经建立的连接，表现为本机可以ping其他主机，但是其他主机无法ping本机，只接受自己发出去的响应包，这是万能的一句话，允许所有自己发出去的包进来。后面跟具体规则
第三条规则的含义其实是：依据第二条来的，所有不满足第二条规则的，都会被拒绝，而且会给主机返回一个host-prohibited的消息。需要注意的则是，所有位于第三条规则之下的规则都无法生效，位于该规则之上的都会生效