Com a -p tcpopção o módulo tcp já está carregado e por isso é um tanto redundante e não é obrigatório usar a -m tcpopção e não vejo porque usar essa opção tornaria a regra mais segura.
O protocolo da regra ou do pacote a verificar. O protocolo especificado pode ser tcp, udp, icmp ou todos, ou pode ser um valor numérico, representando um desses protocolos ou outro diferente. Um nome de protocolo de /etc/protocols também é permitido. UMA "!" argumento antes que o protocolo inverta o teste. O número zero é equivalente a todos. Todos os protocolos corresponderão a todos os protocolos e serão considerados padrão quando esta opção for omitida.
...
Extensões de correspondência
O iptables pode usar módulos de correspondência de pacotes estendidos. Eles são carregados de duas maneiras: implicitamente, quando -p ou --protocol é especificado, ou com as opções -m ou --match, seguidas pelo nome do módulo correspondente; depois disso, várias opções extras de linha de comando ficam disponíveis, dependendo do módulo específico. Você pode especificar vários módulos de correspondência estendida em uma linha e pode usar as opções -h ou --help após o módulo ter sido especificado para receber ajuda específica para esse módulo.
E para uma lista de opções disponíveis, -p tcpveja aqui:
Conforme mencionado acima, com o uso da -mopção é possível adicionar módulos de extensão e mais opções correspondentes ficam disponíveis. Por exemplo, o módulo cpu :
CPU
[!] --número da CPU
Corresponde à CPU que está lidando com este pacote. cpus são numerados de 0 a NR_CPUS-1 Pode ser usado em combinação com RPS (Remote Packet Steering) ou NICs multifila para espalhar o tráfego de rede em diferentes filas.
Exemplo:
iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 0 -j
REDIRECT --to-port 8080
iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 1 -j
REDIRECT --to-port 8081
Pergunta adicional do OP: não entendo o que -m corresponde. Que corda? -m tcp corresponde a quê? Ele tenta encontrar a palavra "tcp" onde?
Resposta: -mé para combinar o nome do módulo e não a string. Ao usar um módulo específico, você obtém certas opções correspondentes. Veja o exemplo do módulo cpu acima. Com o -m tcpmódulo tcp é carregado. O módulo tcp permite algumas opções: --dport, --sport, --tcp-flags, --syn, --tcp-optionpara usar nas regras do iptables. Mas usar -p tcpjá habilita o módulo tcp, é por isso que ainda é possível usar essas opções mesmo sem usar -m tcp. Espero que esclareça toda a sua confusão.
Com a
-p tcpopção o módulo tcp já está carregado e por isso é um tanto redundante e não é obrigatório usar a-m tcpopção e não vejo porque usar essa opção tornaria a regra mais segura.Por favor, veja a página de manual do iptables para uma melhor compreensão e comparação:
...
E para uma lista de opções disponíveis,
-p tcpveja aqui:http://ipset.netfilter.org/iptables-extensions.man.html#lbCF
Conforme mencionado acima, com o uso da
-mopção é possível adicionar módulos de extensão e mais opções correspondentes ficam disponíveis. Por exemplo, o módulo cpu :Lista completa de iptables-extensions.
Pergunta adicional do OP: não entendo o que -m corresponde. Que corda? -m tcp corresponde a quê? Ele tenta encontrar a palavra "tcp" onde?
Resposta:
-mé para combinar o nome do módulo e não a string. Ao usar um módulo específico, você obtém certas opções correspondentes. Veja o exemplo do módulo cpu acima. Com o-m tcpmódulo tcp é carregado. O módulo tcp permite algumas opções:--dport, --sport, --tcp-flags, --syn, --tcp-optionpara usar nas regras do iptables. Mas usar-p tcpjá habilita o módulo tcp, é por isso que ainda é possível usar essas opções mesmo sem usar-m tcp. Espero que esclareça toda a sua confusão.