Зачем напрямую дёргать "ассемблер" iptables, если для декларативного описания цепочек есть ferm?
(Синтаксис nftables вероятно оттуда вдохновлялся, хотя могли и переизобрести)
Пример синтаксиса (chain "icmp"):
chain icmp {
  proto icmp {
   mod length length 129:9000 DROP;
   icmp-type (redirect source-quench router-advertisement router-solicitation timestamp-request address-mask-request) DROP;
   mod hashlimit hashlimit-name "ICMP" hashlimit 2/second hashlimit-mode srcip hashlimit-srcmask 32 ACCEPT;
   DROP;
  }
}

Правила iptables на выходе:
-A icmp -p icmp -m length --length 129:9000 -j DROP
-A icmp -p icmp -m icmp --icmp-type 5 -j DROP
-A icmp -p icmp -m icmp --icmp-type 4 -j DROP
-A icmp -p icmp -m icmp --icmp-type 9 -j DROP
-A icmp -p icmp -m icmp --icmp-type 10 -j DROP
-A icmp -p icmp -m icmp --icmp-type 13 -j DROP
-A icmp -p icmp -m icmp --icmp-type 17 -j DROP
-A icmp -p icmp -m hashlimit --hashlimit-upto 2/sec --hashlimit-mode srcip --hashlimit-name ICMP -j ACCEPT
-A icmp -p icmp -j DROP

Вот так, и ни какого "прокрустова ложа" как у всякой табличной лабуды. Писано правда на перле, но очень внятно.
* geoip туда не прикручивали (и правильно, делать такое на уровне ядра → прилечь на 100% cpu.sys), но при желании добивается за пол-часа по готовым клише.