IPtables : quand utiliser -m dans une règle ?

Match = -m nomdumatch [options-per-match]
Mais cela me confuse. Voici un exemple :

iptables -A INPUT -p tcp -m multiport --dports 23,79 --tcp-flags ALL SYN -m recent --update --seconds 180 -m comment --comment "SYN" -j DROP

Est-ce que quelqu'un peut m'expliquer la théorie derrière cela, pourquoi je n'ai pas à utiliser -m avant --tcp-flags (peut-être que je devrais ?), comme ceci :

iptables -A INPUT -p tcp -m multiport --dports 23,79 -m --tcp-flags ALL SYN -m recent --update --seconds 180 -m comment --comment "SYN" -j DROP

Cela aurait plus de sens pour moi si c'était écrit comme ceci :

iptables -A INPUT -p tcp -m tcp --tcp-flags ALL SYN -m multiport --dports 23,79 -m recent --update --seconds 180 -m comment --comment "SYN" -j DROP

Et pourquoi devrais-je utiliser -m pour comment ? Je le vois partout mais j'aimerais savoir pourquoi et pas autre chose. Je remets un peu en question parce que ce n'est pas un match, donc c'est un peu bizarre.
Merci.