iptables 添加限制规则允许某ip通过端口登录，其他不允许

admin

示例 1. 删除已有规则
在开始创建iptables规则之前，你也许需要删除已有规则。命令如下：
' w  e) D4 N* ?9 L& ^: S* [
5 t/ o) Z2 b) }* `/ f1 ziptables -F
: ]9 i0 o" N; a) W2 V8 k
. t7 k/ L! e7 p% V; R( or)
1 f& P& }1 y! c+ x4 b! G
iptables – flush
: H8 @' ]/ J. j. f2 h; X
2.设置链的默认策略

链的默认政策设置为”ACCEPT”（接受），若要将INPUT,FORWARD,OUTPUT链设置成”DROP”（拒绝），命令如下：

& S. Y2 ~% c7 Y$ G: h& I' Uiptables -P INPUT DROP
" F& y( Y. z  s- v: q- u1 w9 o
* U6 s" K2 N( i- Yiptables -P FORWARD DROP

iptables -P OUTPUTDROP
0 a7 K# ?" c; y3 t# x3 u
. d( q) R- V4 F* }. D* ?7 Y4 A3 u当INPUT链和OUTPUT链都设置成DROP时，对于每一个防火墙规则，我们都应该定义两个规则。例如：一个传入另一个传出。在下面所有的例子中，由于我们已将DROP设置成INPUT链和OUTPUT链的默认策略，每种情况我们都将制定两条规则。当然，如果你相信你的内部用户,则可以省略上面的最后一行。例如：默认不丢弃所有出站的数据包。在这种情况下,对于每一个防火墙规则要求,你只需要制定一个规则——只对进站的数据包制定规则。
" u8 S- k. R1 x* c
3. 阻止指定IP地址
+ Y3 V  p$ f. {% A9 p" L0 K
2 x  i6 M- u/ u: A4 A例：丢弃来自IP地址x.x.x.x的包

BLOCK_THIS_IP= "x.x.x.x"

iptables -A INPUT -s "$BLOCK_THIS_IP"-j DROP
! D& Y* M3 X5 V3 P  j) `3 Q" `1 p
注：当你在log里发现来自某ip地址的异常记录，可以通过此命令暂时阻止该地址的访问以做更深入分析
5 \, C& j) @  i, U5 j0 s+ I; J
4 r/ L8 `# b% o% }% E例：阻止来自IP地址x.x.x.x eth0 tcp的包
* J  g. Q; L4 H4 I3 w6 |; K# R0 q
iptables-A INPUT -i eth0 -s "$BLOCK_THIS_IP"-j DROP
& \0 Q2 {( r! c
iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP"-j DROP
9 v/ j1 I1 z; c5 E. ~
4. 允许所有SSH的连接请求
6 H. o9 O: Q# y2 ~
" h& ~* a  n9 u' \7 k5 Z例：允许所有来自外部的SSH连接请求，即只允许进入eth0接口，并且目标端口为22的数据包

* Y; X, K/ _6 q* B& N% ~+ f: hiptables -A INPUT -i eth 0-p tcp --dport 22- mstate-- stateNEW,ESTABLISHED -j ACCEPT
' Q, g3 J0 Z1 s$ o: i% h0 K/ @
4 r( Q9 E* u7 g0 L$ v, iiptables -A OUTPUT -o eth 0-p tcp --sport 22- mstate-- stateESTABLISHED -j ACCEPT
) K/ C5 p4 l: m, L
  H7 D* v0 h& O( L5. 仅允许来自指定网络的SSH连接请求
  a4 k9 v1 p5 f' |
例：仅允许来自于192.168.100.0/24域的用户的ssh连接请求
8 I/ t9 x) q+ E! }
, r$ b: O2 [5 I8 K" [5 U0 ~7 siptables -A INPUT -i eth 0-p tcp - s192.168. 100.0/ 24--dport 22- mstate-- stateNEW,ESTABLISHED -j ACCEPT

0 V% V: O' x, R0 j4 a# Biptables -A OUTPUT -o eth 0-p tcp --sport 22- mstate-- stateESTABLISHED -j ACCEPT

2 Q3 r. D  L' s" w9 {  H. M6.允许http和https的连接请求

例：允许所有来自web - http的连接请求
7 W) c' K3 \: |8 w0 n# C9 b1 F& E
iptables -A INPUT -i eth 0-p tcp --dport 80- mstate-- stateNEW,ESTABLISHED -j ACCEPT
0 G* G5 b! s. [9 I
iptables -A OUTPUT -o eth 0-p tcp --sport 80- mstate-- stateESTABLISHED -j ACCEPT
: O7 ?5 N% ]* g: a, _- p5 e
例：允许所有来自web - https的连接请求

' ?7 b, x1 X% A8 j( K; _8 k3 Fiptables -A INPUT -i eth 0-p tcp --dport 443- mstate-- stateNEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth 0-p tcp --sport 443- mstate-- stateESTABLISHED -j ACCEPT
! A' n0 i1 g1 U8 \% M
7. 使用multiport 将多个规则结合在一起
6 Z) n2 q, X2 m- w$ c
$ b' t% j  P, d8 I允许多个端口从外界连入，除了为每个端口都写一条独立的规则外，我们可以用multiport将其组合成一条规则。如下所示：

例：允许所有ssh,http,https的流量访问
1 p8 v! r- T5 p
iptables -A INPUT -i eth 0-p tcp - mmultiport --dports 22, 80, 443- mstate-- stateNEW,ESTABLISHED -j ACCEPT
' b- [: ]7 ^7 m" h% c% c: M0 x+ O
iptables -A OUTPUT -o eth 0-p tcp - mmultiport --sports 22, 80, 443- mstate-- stateESTABLISHED -j ACCEPT

8. 允许从本地发起的SSH请求iptables -A OUTPUT -o eth 0-p tcp --dport 22- mstate-- stateNEW,ESTABLISHED -j ACCEPT
( a: L: N8 \3 K( {, [2 o- o
iptables -A INPUT -i eth 0-p tcp --sport 22- mstate-- stateESTABLISHED -j ACCEPT
( s7 B5 x! F/ o2 T% y( w
请注意,这与允许ssh连入的规则略有不同。本例在OUTPUT链上，我们允许NEW和ESTABLISHED状态。在INPUT链上，我们只允许ESTABLISHED状态。ssh连入的规则与之相反。

& T) i# K9 q: {$ r( a- ~6 d4 V9. 仅允许从本地发起到一个指定的网络域的SSH请求

例：仅允许从内部连接到网域192.168.100.0/24
: W/ G# c/ L4 z' ]0 d
. [: M" i' F4 V; U) uiptables -A OUTPUT -o eth 0-p tcp -d 192.168. 100.0/ 24--dport 22- mstate-- stateNEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth 0-p tcp --sport 22- mstate-- stateESTABLISHED -j ACCEPT
- y# Q+ @4 p. \# r& Z* c$ q- [
10. 允许从本地发起的HTTPS连接请求
0 r, L5 p/ T. a2 m  Y+ p
2 a1 Q- ]/ [( @0 u" u% @. e8 u% g下面的规则允许输出安全的网络流量。如果你想允许用户访问互联网，这是非常有必要的。在服务器上，这些规则能让你使用wget从外部下载一些文件

: W% s) ?0 ~9 U* k* Ziptables -A OUTPUT -o eth 0-p tcp --dport 443- mstate-- stateNEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth 0-p tcp --sport 443- mstate-- stateESTABLISHED -j ACCEPT
* i# g/ E$ F, H9 Q: S
注：对于HTTP web流量的外联请求，只需要将上述命令中的端口从443改成80即可。
/ \7 E4 v6 P9 v; Z. i# B3 \% s" {
0 c6 D( Q; a, _1 [, {) [6 d' A. _8 W11. 负载平衡传入的网络流量

使用iptables可以实现传入web流量的负载均衡，我们可以传入web流量负载平衡使用iptables防火墙规则。

例：使用iptables nth将HTTPS流量负载平衡至三个不同的ip地址。
) G4 e7 h; x; G2 y+ k% P
5 e; W& }4 N2 B+ [- }+ ~8 Biptables-APREROUTING-ieth0-ptcp--dport443 -mstate--stateNEW-mnth--counter0 --every3 --packet0 -jDNAT--to-destination192 .168.1.101:443
2 N: ]' P0 w- k) `- F
% ^4 U( S& ^2 h- E2 niptables-APREROUTING-ieth0-ptcp--dport443 -mstate--stateNEW-mnth--counter0 --every3 --packet1 -jDNAT--to-destination192 .168.1.102:443

iptables-APREROUTING-ieth0-ptcp--dport443 -mstate--stateNEW-mnth--counter0 --every3 --packet2 -jDNAT--to-destination192 .168.1.103:443
# ]4 S  z) c) t
12. 允许外部主机ping内部主机iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
1 K, J# ^1 d8 K& S, \
3 n8 d, |8 G' m. ?iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT

$ t" o, j3 |) _2 u0 Z! X13. 允许内部主机ping外部主机iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT

1 q" w$ u+ I# l7 n1 H0 f7 N" niptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
( M* }& `: s' |1 f. G: a3 G+ s3 G
' u$ ]3 V4 Q+ d14. 允许回环访问
' R! u" C/ \5 d0 ]
例：在服务器上允许127.0.0.1回环访问。
) D& j( O& Q' n/ b7 W
iptables-A INPUT -i lo -j ACCEPT

" P* C( W! y2 Z' _& ~0 a* D1 o& S- Liptables -A OUTPUT -o lo -j ACCEPT
5 l2 H3 e; q2 }( v0 v: Q7 z, Q
  M- k% @6 X2 [7 y% \. z# ~6 W% _15. 允许内部网络域外部网络的通信
7 C3 l0 e. q8 e7 a8 T
防火墙服务器上的其中一个网卡连接到外部，另一个网卡连接到内部服务器，使用以下规则允许内部网络与外部网络的通信。此例中，eth1连接到外部网络(互联网)，eth0连接到内部网络(例如:192.168.1.x)。
$ T2 X2 C& s# A' Z* I  |% b
iptables-A FORWARD -i eth0 -o eth1 -j ACCEPT

16. 允许出站的DNS连接iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
8 H4 s  ~, _4 J, `2 m* s$ K
2 W$ N: M' A( S$ P' viptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT

17. 允许NIS连接
5 |7 a! {4 V3 y. j9 h. v
5 w8 C) I$ _& |如果你使用NIS管理用户帐户，你需要允许NIS连接。如果你不允许NIS相关的ypbind连接请求，即使SSH连接请求已被允许，用户仍然无法登录。NIS的端口是动态的，先使用命令rpcinfo –p来知道端口号，此例中为853和850端口。
$ A) n+ Z; d7 C/ L( |" K
rpcinfo-p | grep ypbind

0 @/ }( n0 {, O4 W# ^; ]例：允许来自111端口以及ypbind使用端口的连接请求
; D7 F! e  a! |3 W
5 ]3 n6 F: q" u8 m: C: F$ ciptables -A INPUT -p tcp --dport 111 -j ACCEPT
7 u/ P% q8 `/ y; A! m. R
; [. O" h; J( S6 ^7 ciptables -A INPUT -p udp --dport 111 -j ACCEPT

, S3 O6 a% [# E" J& I+ s6 X# J3 oiptables -A INPUT -p tcp --dport 853 -j ACCEPT

iptables -A INPUT -p udp --dport 853 -j ACCEPT
- c2 b4 \3 N! {9 _
% b+ ~  [0 J  m6 J  Wiptables -A INPUT -p tcp --dport 850 -j ACCEPT

iptables -A INPUT -p udp --dport 850 -j ACCEPT
3 `& Q2 ~* H$ M- m* P
注：当你重启ypbind之后端口将不同，上述命令将无效。有两种解决方案：1）使用你NIS的静态IP 2）编写shell脚本通过“rpcinfo - p”命令自动获取动态端口号,并在上述iptables规则中使用。

18. 允许来自指定网络的rsync连接请求
4 q# E0 P% x( j0 r3 G8 m
; B- A. v# U; ^3 ]# G) M例：允许来自网络192.168.101.0/24的rsync连接请求

iptables -A INPUT -i eth 0-p tcp - s192.168. 101.0/ 24--dport 873- mstate-- stateNEW,ESTABLISHED -j ACCEPT
! P0 L$ `1 r/ f1 L% B
* I4 l8 [# R  ]$ o3 ^, W$ T4 ^3 Ciptables -A OUTPUT -o eth 0-p tcp --sport 873- mstate-- stateESTABLISHED -j ACCEPT

7 ^: Y6 z  M1 r$ Z; k9 ?& c5 b% V. c19. 允许来自指定网络的MySQL连接请求
* [7 w2 ?4 n2 i$ ^: D( S
+ I- w( p3 C/ b; m8 [$ M6 a1 P4 O很多情况下，MySQL数据库与web服务跑在同一台服务器上。有时候我们仅希望DBA和开发人员从内部网络（192.168.100.0/24）直接登录数据库，可尝试以下命令：

iptables -A INPUT -i eth 0-p tcp - s192.168. 100.0/ 24--dport 3306- mstate-- stateNEW,ESTABLISHED -j ACCEPT
2 x$ A5 G8 y5 f. n7 ~9 r, b
) d, a& S  N4 u8 D! P- _iptables -A OUTPUT -o eth 0-p tcp --sport 3306- mstate-- stateESTABLISHED -j ACCEPT

20. 允许Sendmail, Postfix邮件服务
. H8 u9 l4 |& O& h
' {# _( n. n3 w- n! f3 z% QSendmail和postfix都使用了25端口，因此我们只需要允许来自25端口的连接请求即可。
0 m4 S$ d9 K4 b& d' ~5 K" S5 p
iptables -A INPUT -i eth 0-p tcp --dport 25- mstate-- stateNEW,ESTABLISHED -j ACCEPT
  `6 O" V8 ~. @) b' w3 r
iptables -A OUTPUT -o eth 0-p tcp --sport 25- mstate-- stateESTABLISHED -j ACCEPT

  ]; X! I  y8 \: l) I21. 允许IMAP和IMAPS

例：允许IMAP/IMAP2流量，端口为143

iptables -A INPUT -i eth 0-p tcp --dport 143- mstate-- stateNEW,ESTABLISHED -j ACCEPT
7 {6 a5 P  D! j- n8 x9 ~
/ J! e/ V1 i1 D+ ~# kiptables -A OUTPUT -o eth 0-p tcp --sport 143- mstate-- stateESTABLISHED -j ACCEPT
7 U/ }8 t  |- z; M+ M5 }& A$ J
% e/ V6 k8 s, p6 x& K+ S例：允许IMAPS流量，端口为993

iptables -A INPUT -i eth 0-p tcp --dport 993- mstate-- stateNEW,ESTABLISHED -j ACCEPT

6 ~' [5 R# Z/ _  liptables -A OUTPUT -o eth 0-p tcp --sport 993- mstate-- stateESTABLISHED -j ACCEPT

% v. D) m' Z% v6 l3 i' P22. 允许POP3和POP3S
" k$ r: ~$ S2 |* a  l& I
: U8 _! U6 a) ^1 D/ t6 \. G! `例：允许POP3访问

iptables -A INPUT -i eth 0-p tcp --dport 110- mstate-- stateNEW,ESTABLISHED -j ACCEPT

% c6 I/ z. Y9 k" piptables -A OUTPUT -o eth 0-p tcp --sport 110- mstate-- stateESTABLISHED -j ACCEPT
6 p7 Q0 t, n  T
例：允许POP3S访问

! K2 C% X+ v6 d* R5 r1 w; J5 O: ?) Biptables -A INPUT -i eth 0-p tcp --dport 995- mstate-- stateNEW,ESTABLISHED -j ACCEPT
' |- x  Z2 _; W
iptables -A OUTPUT -o eth 0-p tcp --sport 995- mstate-- stateESTABLISHED -j ACCEPT

( i- ?+ e) Z1 t7 H  o. }23. 防止DoS攻击iptables -A INPUT -p tcp --dport 80 -m limit-- limit25/minute -- limit-burst 100 -j ACCEPT
6 @3 W" ~8 D# B* a9 R+ ~5 N  ^
上述例子中：
% b  V* e1 S' T
-m limit: 启用limit扩展

–limit 25/minute: 允许最多每分钟25个连接（根据需求更改）。
9 a* r6 n8 k7 w' z5 W4 ?! T/ Z$ h
–limit-burst 100: 只有当连接达到limit-burst水平(此例为100)时才启用上述limit/minute限制。
/ B1 U) @- Q0 Q& Q! P- M9 V
" F* H- E3 W! s+ j; n24. 端口转发
+ y5 Q% M; m" P1 ?2 P  M例：将来自422端口的流量全部转到22端口。

这意味着我们既能通过422端口又能通过22端口进行ssh连接。启用DNAT转发。
+ ?* P# R7 O: e( p# k5 o; Z
iptables-tnat-APREROUTING-ptcp-d192 .168.102.37--dport422 -jDNAT--to192 .168.102.37:22

4 @1 H: [4 l3 E  ]: Q& W% o/ f除此之外，还需要允许连接到422端口的请求
% |# B: m3 h( |
iptables -A INPUT -i eth 0-p tcp --dport 422- mstate-- stateNEW,ESTABLISHED -j ACCEPT
7 @) P! p1 z) H' T8 i
iptables -A OUTPUT -o eth 0-p tcp --sport 422- mstate-- stateESTABLISHED -j ACCEPT

25. 记录丢弃的数据表
! X8 w- |6 _( @: d  Q* b$ G5 l
第一步：新建名为LOGGING的链
) m" G1 n% ~4 E+ i3 A% o5 V6 h5 {
iptables-N LOGGING
: ~/ u7 V: G, a3 Z* Q
) Y# G& r; ?- w5 ~8 m1 h" g( Z第二步：将所有来自INPUT链中的数据包跳转到LOGGING链中
! ]# b8 ^# H; ~8 a* P- Z/ r
' o% K  r  k' Y. A" E* j8 Ziptables-A INPUT -j LOGGING

第三步：为这些包自定义个前缀，命名为”IPTables Packet Dropped”
8 A$ X+ q4 z3 X0 ?
iptables -A LOGGING -m limit-- limit2/min -j LOG -- log-prefix "IPTables Packet Dropped: "-- log-level 7

" M4 F6 J9 J' j3 e* G0 O- G3 i第四步：丢弃这些数据包

8 n/ B' _/ K# [. g" z- b- Diptables-A LOGGING -j DROP

admin

使用packstack安装完成后的openstack，再新加计算节点的时候，总是提示连接失败。
  T7 i4 Y2 z1 U检查了半天是因为iptable的原因，因为自己安装的脚本在给rabbitmq加的rule如下，只有通过192.168.12.22这个节点才可以访问它，所有新加的计算节点总是连接不大rabbitmq。
ACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 5671,5672
6 h# Q' r" Z0 b& ?! u7 q, q4 `3 |
why controller drop my compute node packet, check below iptable rule:
[root@controller log(keystone_admin)]# iptables -nL
% z9 O) h# d' m( OChain INPUT (policy ACCEPT)
target     prot opt source               destination
! l( @6 Q: t7 v2 W; O  s7 q" CACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
4 Y' o2 F# C1 f6 qACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
. Y7 |0 W, [/ ~  JACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67
. c9 v3 s" U& S7 ~; S2 o& j# only allow 192.168.12.22 packet to connect to rabbitmq
ACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 5671,5672 /* 001 amqp incoming amqp_192.168.12.22 */
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 8042 /* 001 aodh-api incoming aodh_api */
: {) c' v+ D( q) t6 ^ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 8777 /* 001 ceilometer-api incoming ceilometer_api */
ACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 3260 /* 001 cinder incoming cinder_192.168.12.22 */
7 d' }( I$ n# r) G. y, cACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 8776 /* 001 cinder-api incoming cinder_api */
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 9292 /* 001 glance incoming glance_api */
9 K' m* F. a, v5 x/ v2 YACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 8041 /* 001 gnocchi-api incoming gnocchi_api */
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 80 /* 001 horizon 80 incoming */
" U6 j! }  y) p( l( D  i/ w) MACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 5000 /* 001 keystone incoming keystone */
9 N0 k2 F/ M. A6 d" {% KACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 3306 /* 001 mariadb incoming mariadb_192.168.12.22 */
2 B* u8 `' n( [) d# BACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 9696 /* 001 neutron server incoming neutron_server_192.168.12.22 */
3 s# L# u! y; G$ k* E+ |% aACCEPT     udp  --  192.168.12.22        0.0.0.0/0            multiport dports 6081 /* 001 neutron tunnel port incoming neutron_tunnel_192.168.12.22_192.168.12.22 */
* B7 I) L! C( A1 @5 W# Q5 ZACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 8773,8774,8775,8778 /* 001 nova api incoming nova_api */
ACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 5900:5999 /* 001 nova compute incoming nova_compute */
ACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 16509,49152:49215 /* 001 nova qemu migration incoming nova_qemu_migration_192.168.12.22_192.168.12.22 */
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 6080 /* 001 novncproxy incoming */
% X( T4 K$ S/ v& zACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 6641 /* 001 ovn northd incoming ovn_northd_192.168.12.22 */
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 6642 /* 001 ovn southd incoming ovn_southd_192.168.12.22 */
2 S# H- R$ c% O% u$ NACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 6379 /* 001 redis service incoming redis service from 192.168.12.22 */
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 8080 /* 001 swift proxy incoming swift_proxy */
+ o+ E4 B+ s, D1 s2 ]9 ^5 |8 aACCEPT     tcp  --  192.168.12.22        0.0.0.0/0            multiport dports 6000,6001,6002,873 /* 001 swift storage and rsync incoming swift_storage_and_rsync_192.168.12.22 */
2 I; G% |0 Q( i/ @& Y+ aACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
1 Y9 z# y- m" K& ]ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited