:INPUT DROP -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p tcp -m tcp --tcp-flags ! SYN,ACK,FIN,RST SYN -j tcp-scan -A INPUT -m state --state INVALID -j invalid ←tcp-scanよりも後ろに置く -A INPUT ... ... :tcp-scan - -A tcp-scan -p tcp -m tcp --tcp-flags SYN,ACK,FIN,RST ACK -j tcp-ack-scan ... -A tcp-scan -j DROP :tcp-ack-scan - ←ログ残して廃棄。invalidなども同様 -A tcp-ack-scan -m limit ... -j LOG ... -A tcp-ack-scan -j DROP
