![](https://csdnimg.cn/release/download_crawler_static/37113366/bg4.jpg)
--limit-burst number :待匹配包初始个数的最大值。若前面指定的极限还没达到这个数值,则该数字加 1 。默认值是
5 。
multiport :这个模块匹配一组源端口或目标端口,最多可以指定 15 个端口。只能和 -p tcp 或者 -p udp 连着使用:
--source-port[port[,port]] :如果源端口是其中一个给定端口,则匹配;
--destination-port[port[,port]] :如果目标端口是其中一个给定端口,则匹配;
--port[port[,port]] :若源端口和目的端口相等并与某个给定端口相等,则匹配。
owner :此扩展为本地生成包匹配包的创建者,只能用于 OUTPUT 链,而且,有一些包(如 ICMP ping 应答)还可能
没有所有者,因此永远不会匹配:
--uid-owner userid :如果给出有效的 user id ,那么匹配他的进程产生的包;
--gid-owner groupid :如果给出有效的 group id ,那么匹配它的进程产生的包;
--sid-owner sessionid :根据给出的会话组成匹配该进程产生的包。
REJECT :作为对匹配的包的相应, 返回一个错误的包, 其他情况下和 DROP 相同。此目标只适用于 INPUT 、FORWARD
和 OUTPUT 链,以及调用这些链的用户自定义链。这几个选项控制返回的错误包的特性:
--reject-with type :其中的 type 可以是 ic mp-net-unreachable 、ic m p-host-unreachable 、ic m p-port-
unreachable 、ic mp-porto-unreachable 、ic mp-net-prohibited 或者 ic mp-host- prohibited ,该类型会返回相应
的 ICMP 错误信息(默认是 port-unreachable )。选项 echo-reply 也是允许的;它只能用于指定 ICMP ping 包的规
则中,生成 ping 的回应。
SNAT :这个目标只适用于 nat 表的 POSTROUTING 链。它规定修改包的源地址(此连接以后所有的包都会被影响),
停止对规则的检查:
--to-source [][:port-port] :
可以指定一个单一的新 IP 地址,一个 IP 地址范围,也可以附加一个端口范围 (只能在指定 -p tcp 或者-p udp 的规则里)。
如果未指定端口范围,源端口是 512 以下的端口惠被安排为其他的 512 以下的端口; 512 到 1024 之间的端口会被安
排为 1024 以下的,其他端口会被安排为 1024 或以上。如果可能,端口不会被修改;
--to-destiontion [][:port-port] :
可以指定一个单一的新的 IP 地址,一个 IP 地址范围,也可以附加一个端口范围(只能在指定 -p tcp 或者 -p udp 的规则
里)。如果未指定端口范围,目标端口不会被修改。
MASQUERADE :只用于 nat 表的 POSTROUTING 链。只能用于动态获取 ip (拨号)连接:如果拥有静态 IP 地址,
要用 SNAT 。伪装相当于给包发出时所经过接口的 IP 地址设置一个映像,当借口关闭时,连接会终止。这是因为,当下
一次拨号时,未必是相同的接口地址(以后所有建立的连接都将关闭)。他有一个选项: