iptables. Цепочка bad_ip работает для INPUT и OUTPUT. Как обрабатывать source и destination адреса в одном правиле?

[fergios]

Имеем цепочку bad_ip, в которую идут пакеты на проверку с INPUT и OUTPUT.

Есть ip 0.0.0.0

Пишем правило :
iptables -A bad_ip -s 0.0.0.0 -j DROP - это для входящего соединения, ведь source адреса приходит пакет.
iptables -A bad_ip -d 0.0.0.0 -j DROP - это для исходящего соединения, ведь на destination адрес отправляет пакет.

Как это записать в одном правиле?

[neol]

Для работы со списком IP можно использовать ipset, если поддержка есть. Будет значительно компактнее и шустрее.
Хотя совершенно не понятно на кой черт может понадобится фильтровать таким образом пакеты из OUTPUT и destination в INPUT.

[fergios]

Для работы со списком IP можно использовать ipset, если поддержка есть. Будет значительно компактнее и шустрее.
Хотя совершенно не понятно на кой черт может понадобится фильтровать таким образом пакеты из OUTPUT и destination в INPUT.

Хочется понять работу цепочек в iptables.
А вопрос , чтобы узнать можно ли более красивее.

Спасибо за подсказку.
Но все же существует правило которое будет работать и для source и для destination одновременно?
В соседней ветке Вы писали про модуль kmp чтоли, может там указать вместо слова адрес?

Например, так :

iptables -A OUTPUT -p udp --dport 53 -m string --from 41 --algo kmp --string 0.0.0.0 -j REJECT