如上所示，若匹配 DNS 的请求报文（目的端口 53 的 udp 报文），需要依次遍历所有规则，才能匹配中。 其中，ipset/multiport 等 match 项，只能减少规则数量，无法改变 O(N)的匹配方式。 iptables 常常和 ipset 结合使用，设置一些 I…