Пара глупых вопросов по iptables

На 1-й вопрос ответ в мане:

-j REJECT --reject-with tcp-reset

На 2-й почитайте о connection tracking https://ru.wikibooks.org/wiki/Iptables#conntrack

на второй, насколько я понял, достаточно нечто типа

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

HTTP трафика (в них же прописывается не 80й порт, а уникальный на соединение)?

Ну как бы про conntrack и RELATED,ESTABLISHED соединения уже написали.

Но почему это в HTTP уникальный порт? Порт входящий в HTTP, как и у ssh всегда один и стандартно 80.

Это у FTP и SIP для примера, сессия данных поднимается на заранее согласованном порту. Но и для них есть модули iptables для отслеживания номера порта в контрольной сессии.

Но почему это в HTTP уникальный порт?

Скорее всего, он имеет в виду порт источника.

ТС, верно мыслишь, когда клиент обращается к сайту, он к нему идёт по 80 порту. А у себя он выходит из того, который система дала. А система, чаще всего, выбирает из портов всё что выше 32768. На фаерволе это отличается директивами:

 --sport, --dport 

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT 

Скорее всего, он имеет в виду порт источника.

Я поэтому и выделил слово «входящий». Порт источника рандомный по умолчанию у любой TCP сессии.

что ты сам инициировал, делай, как писали выше, и ещё

Только не «сам инициировал», а те, которые уже были установлены и разрешены другими правилами.

Еще если политика цепочки OUTPUT отлична от ACCEPT, надо аналогичное правило stateful добавить(--state RELATED,ESTABLISHED), чтобы ответные пакеты тоже проходили.

Мерси, коллега.

Заюзай fwbuilder: натыкаешь мышкой правила и, через пункт «compile» (или как-то так) посмотришь результат.