*filter #代表接下来的配置都是在filter表上的
:INPUT DROP [0:0]    #代表filter表上默认的input chain为drop ，对应的命令iptables -P INPUT DROP,中括号里面的两个数字代表的是这条链上已经接受到的包的数量及字节数量[包的数量:包的总字节数]
:FORWARD DROP [0:0]  #代表filter表上默认的forward chain为drop ，对应的命令iptables -P FORWARD DROP，
:OUTPUT ACCEPT [0:0] #代表filter表上默认的forward chain为accept ，对应上面的命令iptables -P OUTPUT ACCEPT，

-A INPUT -i lo -j ACCEPT  #允许本地回环
-A INPUT -p icmp --icmp-type any -j ACCEPT #允许ping
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT   #放行状态为ESTABLISHED的报文 (对已经建立连接的，直接允许) --state说的是连接状况  -m  or  --match 


#-A INPUT -s 47.240.14.115  -p TCP -j DROP

-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

#Deny all
#-A INPUT -j REJECT --reject-with icmp-host-prohibited
#-A FORWARD -j REJECT --reject-with icmp-host-prohibited
# 这两条的意思是在INPUT表和FORWARD表中拒绝所有其他不符合上述任何一条规则的数据包。并且发送一条host prohibited的消息给被拒绝的主机。
# 这两条注释，因为第2行和第3行是DROP 本身已经是DROP

COMMIT