让我们举个例子，假设我只允许传出的 HTTP[S] 流量通过防火墙。我知道在现实世界中我还需要允许传出 DNS 流量，但这只是一个例子。我会像这样编写 iptable 规则：
:INPUT DROP
:FORWARD DROP
:OUTPUT DROP
-A INPUT -p tcp -m multiport --sports 80,443 -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p tcp -m multiport --dports 80,443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
这样对吗？我想知道，因为我见过有人写过这样的防火墙规则：
:INPUT DROP
:FORWARD DROP
:OUTPUT DROP
-A INPUT -p tcp -m multiport --sports 80,443 -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT
传出规则NEW和NEW,ESTABLISHED,RELATED …