iptables 的 mangle 表不适合过滤所谓“反向tcp半连接”，因其不识别连接状态、不支持tcp状态匹配；防御非法半开连接应使用 filter 表配合 conntrack、--tcp-flags 和内核参数（如 tcp_syncookies）。
iptables 的 mangle 表并不适合、也不用于过滤“反向TCP半连接”，这个说法本身存在概念混淆。
所谓“反向TCP半连接”，并不是标准网络术语。常见误解可能指向以下几种情况：
- SYN Flood 攻击中的大量未完成三次握手的 SYN 包（即只发 SYN、无后续 ACK）
- 从外部主动向内网服务发起的新建连接请求（如非预期的外连回弹、反弹 Shell 的初始 SYN）
- 连接状态异常的 INVALID 或 NEW 状态包，但被误称为“反向半连接”
而 mangle 表的设计目的不是做连接状态过滤或攻击拦截，它的核心职责是：
✅ 修改数据包头字段（如 TTL、TOS、MARK）
✅ 设置数据包标记（--set-mark），供后续策略路由或 QoS 使用
❌ 不提供连接状态识别（那是 conntrack + filter 表的事）
❌ 不支持基于 TCP 状态（如 SYN-only、half-open）的深度判断
❌ 无法替代 --tcp-flags 或 -m conntrack --ctstate 的语义匹配能力
正确做法：用 filter 表 + conntrack 拦截非法新建连接
真正能防御恶意半开连接（如 SYN Flood、伪造源 IP 的扫描连接）的是 filter 表配合 conntrack 模块：
-
优先丢弃非法连接状态
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
-
限制外网主动发起新连接（仅允许特定端口/来源）
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -s 192.168.10.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j DROP
-
对高风险端口启用 SYN Cookie（内核级防护，比 iptables 更有效）
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
-
结合速率限制防暴力试探
iptables -A INPUT -p tcp --dport 80 --syn -m limit --limit 20/minute --limit-burst 50 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 --syn -j DROP
如果你真想用 mangle 表做点事？它能辅助，但不主责
例如：给可疑 SYN 包打标，再在 filter 表中统一处理：
iptables -t mangle -A PREROUTING -p tcp --syn -s 203.0.113.0/24 -j MARK --set-mark 1
iptables -A INPUT -m mark --mark 1 -j DROP
但这只是“绕路实现”，本质仍是 filter 表在执行拦截，mangle 只负责预标记。
总结一句话
防御非法 TCP 半连接行为，靠的是：
- ✅
conntrack状态识别（filter 表） - ✅
--tcp-flags标志位校验（filter 表） - ✅ 内核参数调优（如
tcp_syncookies） - ❌ 不是 mangle 表——它不看连接是否半开，也不管 SYN 是否合法
别让表名误导了目标。该用 filter 的地方，硬套 mangle 反而增加维护成本和逻辑混乱。
