iptables域名精确匹配

iptables的-s参数默认不支持域名匹配，直接写域名会报错或解析成单个IP地址，精确匹配域名的核心方案是“提前解析域名到IP，再借助iptables的字符串模块或ipset集合实现动态更新”，这个问题几乎每个用iptables做流量控制的人都会撞上,网上搜到的教程多半含糊其辞，要么说“iptables不支持……