Linux防火墙效率问题两种iptables规则发下#规则一iptables-AINPUT-mstate--stateRELATED,ESTABLISHED-jACCEPTiptables-AINPUT-ptcp-mstate--stateNEW-mtcp--dport22-jACCEPTiptables-AINPUT-ptcp-mstate--stateNEW-mt

Question

Linux防火墙效率问题
两种iptables规则发下
#规则一
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
....(以下N行全是 -m state --state NEW)
iptables -A INPUT -j DROP

#规则二
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A -m state ! --state NEW -j DROP
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
......(以下N行全没有 -m state --state NEW)
iptables -A INPUT -j DROP
这两种两法区别就是其中规则一后面N条规则都带有参数“ -m state --state NEW”，规则二不带，但规则多多了一条“-A -m state ! --state NEW -j DROP”。
这两种写法那种现实中用比较合理些呢，当然效率问题是关键，并解释下原因，谢谢。

Answer 1

直接用 iptables -A INPUT -p tcp --dport 22 -j ACCEPT 不就行了吗？不需要加m参数的。