Extensiones de TCP: utilizadas con -m tcp -p tcp

– -sport [!] [puerto[:puerto]]
Especifica el puerto que debe utilizar el origen del datagrama para concordar con esta regla. Se pueden especificar los puertos en la forma de un rango, especificando los límites inferior y superior con un signo : como delimitador. Por ejemplo, 2 0: 2 5 describe todos los puertos que van desde el 20 hasta el 25 incluyendo ambos. De nuevo, el signo ! puede utilizarse para negar los valores.
– -dport [!] [puerto[:puerto]]
Especifica el puerto que el datagrama de destino utilizará para concordar con este regla. Este argumento se codifica de forma idéntica a la opción – -sport.
– -tcp-flags [!] máscara comp
Especifica que esta regla debe concordar cuando los indicadores de TCP del datagrama concuerden con los especificados por máscara y comp. máscara es una lista separada por comas de los indicadores que deben examinarse en la comprobación. comp es una lista separada por comas de indicadores cuyo valores han de ser todos 1 para que la regla concuerde. Los indicadores válidos son: SYN, ACK, FIN, RST, URG, PSH, ALL o NONE. Esto constituye una opción avanzada: consúltese una buena descripción del protocolo de TCP, como el documento RFC-793, para la explicación del significado y la implicación de cada uno de estos indicadores. El signo ! niega la regla.
[!] – -syn
Especifica que la regla concordará sólo con los datagramas cuyo bit SYN valga 1 y cuyos bits ACK
y FIN valgan ambos 0. Los datagramas con estos valores de los indicadores se utilizan para abrir las conexiones de TCP, por tanto esta opción puede ser utilizada para gestionar las solicitudes de conexión. Esta opción es una abreviatura de:
– -tcp-flags SYN,RST,ACK SYN
Cuando se utilice el operador de negación, la regla concordará con todos los datagramas cuyos bits SYN y ACK no valgan 1 simultáneamente.