Пакет проходит правила цепочки сверху вниз, и правило, которое его остановило, видно по счётчику.
Правило — условия и действие, вердикт. ip saddr 192.0.2.20 tcp dport 8081 accept значит: пакет от 192.0.2.20 на TCP-порт 8081 пропустить. Первое правило, чьи условия совпали, решает судьбу пакета, дальше он не идёт. drop отбрасывает пакет молча — клиент ждёт до тайм-аута, reject возвращает отказ.
Если ни одно правило не решило, действует политика цепочки — policy drop в её первой строке. Слово counter в правиле считает совпавшие пакеты: счётчик показывает, какое правило сработало.
В наборах правил серверов обычно вторым идёт ct state established,related accept — оно пропускает пакеты уже открытых соединений.
У клиента два адреса, 192.0.2.20 и 192.0.2.30. С какого уйдёт запрос, выбирает ключ curl --interface.
Какое правило сработало
Отправь запрос с адреса клиента 192.0.2.20 и прочитай таблицу lab_filter на сервере: какое правило посчитало запрос?
Сначала предположи
Запрос с 192.0.2.20 идёт на порт 8080. У какого правила вырастет счётчик?
Теперь начни упражнение, выполни команду и сверь прогноз с выводом.