1、其实匹配扩展中，还有需要加-m引用模块的显示扩展，默认是隐含扩展，不要使用 -m，
状态检测的包过滤
-m state 指定检测那种状态
--state NEW 建立新的连接
--state ESTABLISHED 已建立连接
--state RELATED 相关的
--state INVALID 无效的
-m multiport 指定多端口号
--sport
--dport
--ports
-m iprange 指定IP段
--src-range ip-ip
--dst-range ip-ip
-m connlimit 连接限定
--comlimit-above # 限定大连接个数
-m limit 现在连接速率，也就是限定匹配数据包的个数
--limit 指定速率
--limit-burst # 峰值速率，最大限定
-m string 按字符串限定
--algo bm|kmp 指定算法bm或kmp
--string "STRING" 指定字符串本身
原文：http://www.cnblogs.com/gdlhz888/p/7427698.html