我们的规则的基本解剖是从-A告诉iptables我们要添加以下规则。OUTPUT这意味着这个规则应该成为输出链的一部分。-p指示此规则仅适用于使用tcp协议的数据包，其中，-d告诉我们，目的地是bigmart.com。这，这个，那，那个-j标志指向ACCEPT作为当数据包与规则匹配时要采取的操作。在第一条规则中，该操作是允许或接受请求。但在更低的范围内，您可以看到将被删除或拒绝的请求。
记住秩序很重要。这是因为iptables将运行一个请求，超过它的每个规则，但只有在它得到匹配为止。所以一个向外发送的浏览器请求，比如说，youtube.com将通过前四条规则，但是当它到达–dport 80或–dport 443规则-取决于它是HTTP请求还是HTTPS请求-它将被删除。Iptable不会再费心检查了，因为那是匹配的。
另一方面，如果系统请求ubuntu.com进行软件升级，那么当它达到适当的规则时，它就会通过。显然，我们在这里所做的是只允许发送HTTP或HTTPS请求到我们的BigMart或Ubuntu目的地，而不是其他目的地。
最后两个规则将处理传入的SSH请求。由于它们不使用端口80或443，而是使用22，所以它们不会被前面的两个DROP规则所拒绝。在这种情况下，从我的工作站登录请求将被接受，但其他任何地方的请求将被删除。这一点很重要：确保用于端口22规则的IP地址与用于登录的机器的地址相匹配-如果不这样做，您将立即被锁在门外。当然，这没什么大不了的，因为按照当前的配置方式，您可以简单地重新启动服务器，而iptables规则就会被删除。如果您使用LXC容器作为您的服务器并从您的LXC主机登录，那么使用您的主机用来连接到容器的IP地址，而不是它的公共地址。
如果我的机器的IP曾经改变，您需要记住更新这个规则；否则，您将被锁在门外。
在家里玩(希望是在一个丢弃的VM上)？太棒了创建自己的脚本。现在我可以保存脚本，使用chmod使其可执行，并将其运行为sudo。别担心bigmart-data.com not found错误-当然找不到；它不存在。
| chmod +X scriptname.sh sudo ./scriptname.sh |
您可以在命令行中使用cURL。请求ubuntu.com有效，但是manning.com失败了。
| curl ubuntu.com curl manning.com |
将iptables配置为在系统启动时加载
现在，我如何使这些规则自动加载每次售货机启动？第一步是使用iptables-save工具。这将在根目录中创建一个包含规则列表的文件。这个管道，后面跟着tee命令，是应用我的sudo权限到字符串的第二部分：将文件实际保存到其他受限制的根目录。
然后，我可以告诉系统运行一个名为iptables-restore每次它启动。像我们在前面的模块中看到的那样的常规cron作业不会有帮助，因为它们是在设定的时间运行的，但是我们不知道我们的计算机何时会决定崩溃和重新启动。
