iptables и хакерская профилактика

Привет, коллега Ubuntuers!

вот пример моего файла iptables.rules:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:f2b-sshd - [0:0]
:f2b-sshd-ddos - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd-ddos
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -s 202.215.160.75/32 -j DROP
-A INPUT -s 66.210.251.136/32 -j DROP
-A INPUT -s 61.40.0.0/16 -j DROP
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd-ddos
-A INPUT -i tap0 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -i br0 -j ACCEPT
-A FORWARD -i br0 -j ACCEPT
-A f2b-sshd -j RETURN
-A f2b-sshd-ddos -j RETURN
COMMIT

обратите внимание, что это сжатая версия моего файла. У меня, вероятно, около 100 или около того IP-адресов / доменов, которые я удаляю.

Моя проблема в том, что когда я бросаю новый ip, такой как xxxx, он добавляет его следующим образом:

-A INPUT -i br0 -j ACCEPT
-A INPUT -s x.x.x.x/32 -j DROP
-A FORWARD -i br0 -j ACCEPT

[d4 ] Это почему-то тогда фактически не отбрасывает ip-адрес, как я этого хочу. У меня есть сценарий оболочки, который я использую для удаления пользователей / доменов:

./ drop-user

sudo iptables -A INPUT -s $1 -j DROP
sudo sh -c "iptables-save > /etc/iptables.rules" 

./ drop-domain

 sudo iptables -A INPUT -s $1/16 -j DROP
 sudo sh -c "iptables-save > /etc/iptables.rules"

[d7 ] Для борьбы с этой проблемой я вручную редактирую файлы /etc/iptables.rules, чтобы переместить xxxx ip выше этой строки:

 -A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd-ddos

, а затем вызывая:

sudo iptables-restore < /etc/iptables.rules

Что случилось с моим процессом, если что-нибудь? Есть ли способ лучше? Каждый день я провел около 10 минут, занимаясь хаками, и большую часть времени редактировал мои файлы iptables.rules, а затем восстанавливал его с помощью iptables-restore. Я хотел бы иметь возможность просто вызвать ./drop-user или ./drop-domain и сделать это, но я чувствую, что мне не хватает понимания iptables.

Должен ли я выполняйте следующие команды перед iptables-restore?

 sudo iptables -F
 sudo iptables -Z

Спасибо заранее!