Para bloquear una IP específica usa `iptables -A INPUT -s 192.168.1.100 -j DROP`. `-A INPUT` añade la regla al final de la cadena INPUT, `-s` especifica la IP origen y `-j DROP` descarta todos los paquetes. Para bloquear solo conexiones nuevas usa `-m state --state NEW`. Para registrar antes de bloquear: `iptables -A INPUT -s 192.168.1.100 -j LOG --log-prefix "BLOQUEO: "`. Guarda las reglas con `iptables-save > /etc/iptables/rules.v4` para que persistan tras reinicio.

La tabla `filter` es la predeterminada y controla el tráfico permitiendo (ACCEPT), descartando (DROP) o rechazando (REJECT) paquetes en INPUT, OUTPUT y FORWARD. La tabla `nat` se usa para traducción de direcciones: SNAT cambia IP origen (salida a Internet), DNAT cambia IP destino (acceso desde fuera). La tabla `mangle` modifica campos de los paquetes como TTL o TOS, útil para QoS y balanceo. La tabla `raw` y `security` son para casos más avanzados como excepciones de connection tracking y políticas SELinux.

Una configuración mínima segura: `iptables -P INPUT DROP` (política por defecto: denegar todo), `iptables -P FORWARD DROP`, `iptables -P OUTPUT ACCEPT`. Luego permite SSH: `iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT`. Permite HTTP/HTTPS: `iptables -A INPUT -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT`. Permite tráfico establecido: `iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT`. Permite loopback: `iptables -A INPUT -i lo -j ACCEPT`.

Para redirigir tráfico entrante usa DNAT en la tabla nat. Ejemplo: redirigir todo el tráfico del puerto 8080 al puerto 80 interno: `iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination :80`. Para redirigir a otra IP: `iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination 192.168.1.10:443`. Activa IP forwarding con `sysctl net.ipv4.ip_forward=1`. Para SNAT (enmascarar salida a Internet): `iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE`.