个人觉得一楼的没用，你当前已经开放 3306 ，不管什么 state 都会畅通无阻。
我觉得问题在你的
INPUT DROP [53:7426] 这一行。还没等后面的开门呢，这句就直接把数据包扔了。

所以改成这样应该就行了：
filter

INPUT ACCEPT [0:0]

FORWARD ACCEPT [0:0]

OUTPUT ACCEPT [108:16569]

-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT

-A INPUT -p icmp -j ACCEPT

-A INPUT -i lo -j ACCEPT

-A INPUT -j DROP

COMMIT

======================
另一个方法：
把你所有的-A 改成-I
-A 是 append ，规则往后插
-I 是 Insert ， 规则往前插，这样不管之前有什么规则，你这条优先执行

@SheHasNoTime 这一般不会直接跳转到 HTTPS 啊，你之前设置过 HSTS ？

不像是常见的编码，你在哪找到的？

那你是怎么访问 a.com 的？ HTTPS ？还是 HTTP ？
如果是 HTTPS ，首先要和 a 建立加密连接，然而 DNSpod 并没有有效证书，所以出错是正常的。 301 也是建立在 HTTPS 之上的。

所以有效解决方案是。。弄个 SSL 证书给 a ，然后自己架服务器做跳转

@paradoxs 恩，我知道。这种只是亚马逊帮忙发货退货，别的没什么保障

@sarices 基本可以确定美亚里面，由亚马逊自己卖的(sell by Amazon)都是真的。 然后就比如刚刚那个限量版，全球 2500 个没有理由三年都卖不干净，虽然有两个卖家 fulfilled by Amazon ，但是卖家都是新帐号，非常可疑。

AMD 要是倒了， Intel 就懈怠了，研发进程都会变慢

@fqdmpn30158 这东西安全圈几乎人手一份，包括很多 BAT 和一些安全公司的人。怎么可能都抓了去。

机械盘也就这样了， USB3.0 和 Thunderbolt 没啥区别。
要是单单比传输速度 Thunderbolt2.0 比 USB3.0 快好多好多。

感觉是 DNS 解析错了 IP

直播时单向的，有延迟你也不知道。视频聊天是双向的，一下子就能察觉出来。

任何一个低价运营商，在被某些投机商人滥用了之后，都会走向垃圾。

想想 Linode 日本能用的 IP 还剩几个，为什么。

@JJaicmkmy 明白了

@maskerTUI 也并不全是，起码朋友圈图片是明文的， wireshark 能直接抓到

好吧，我知道了 CNISP-Union Technology (Beijing) Co., Ltd 并没有独立的 AS ，这个 IP 段实际属于网宿美国的 AS ，网宿只是根据它申报的信息填写这个 IP 小段的 WHOIS