iptables 过滤条件(Matches)

iptables可让你设置多种过滤条件，但是某些条件需要核心有提供相关功能才行。Iptables本身內建一般性的Internet Protocol (IP) 过滤条件，也就是說，即时沒载入任何扩充模组，你也可以用IP包标头的「传输协定类型」、「来源位址」、「目的地位址」等栏位为过滤条件。关於一般性的IP过滤条件，请参閱《IPv4过滤条件》。

除了IP之外的其它协定，诸如ICMP、TCP、UDP等等，必须载入相关的扩充模组，才可以作为过滤条件。使用iptables的-m或- -match选项，指出载入特定协定的扩充模组。

所有关于过滤条件的扩充模组，几乎都上针对网络层（IP、ICMP）或传输层（TCP、UDP），唯一例外上mac模组，它能让你以Ethernet网卡的MediaAccessController（MAC）位址为过滤条件【注解：Ethernet属于网络层之下的「资料连结层」（OSI Model）或「实体层」（IP Model）】。