用了多年的iptables，有一个问题还没搞明白【讨论】。

a12333a

在开启iptables的情况，我自定义了100条filter表的规则，这些规则没有涉及到80端口。
那么用户发送一个80端口的包过来，是否会历遍这100条规则？
iptables这么成熟，个人觉得应该不会再去历遍，但是不历遍，它又是怎么判断？

txdgtwpv

会

不过100条规则还好

瀚海书香

回复 1# a12333a
会遍历的。所以最好是将规则区分越明显且处理简单的放到前面。
比如： iptables -A FORWARD -p tcp --dport 80 -m string --string "abc" -j DROP 要好于iptables -A FORWARD -m string --string "abc" -p tcp --dport 80 -j DROP。