iptables

1. 数据包经过某一 hook 点时，先过 raw 表中对该 hook 点指定的规则，然后过其他的表的。（总之，有个优先顺序）
即使在 raw 表中放这个数据包过，在其他表中不让这个数据包过，这个数据包最终也过不去。

2. -A FORWARD -j REJECT --reject-with icmp-host-prohibited
相比 DROP 来说更人性化点，不会那么不声不响，好让对端知道咋回事。