Заставить iptables немедленно применить правило отбрасывания

Это происходит потому, что у вас все еще есть запись в таблице подключений для этого хоста, и утилита iptablesне будет очищать ее или каким-либо образом возиться с ней при добавлении или удалении ее правил.

Для этого вам необходимо установить утилиту conntrack(8), которую можно использовать для управления таблицей отслеживания активных соединений ядра. Для этого используется интерфейс сокета netlink, который предлагает функции, недоступные через /procили другие средства.

Например, conntrack -Fудалит все соединения, conntrack -D --dst=8.8.8.8удалит все записи с этим пунктом назначения, conntrack -D --src=192.168.35.107удалит все записи с этим источником и т. д.

Его легко установить в большинстве дистрибутивов, например, с. apt-get install conntrack, yum install conntrackи т. д.