มันจะดีกว่าถ้าตั้งค่า -j REJECT หรือ -j DROP ใน iptables?

มีตัวอย่างของกฎ iptables ใน archlinux wiki:

# Generated by iptables-save v1.4.18 on Sun Mar 17 14:21:12 2013
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:TCP - [0:0]
:UDP - [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -j UDP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
COMMIT
# Completed on Sun Mar 17 14:21:12 2013

ไม่กี่วันที่ผ่านมาเพื่อนของฉันถามฉันว่าทำไมถึงมีREJECTกฎสามข้อสุดท้าย เขาบอกผมว่าควรจะมีแทนและเขากล่าวถึงบางสิ่งบางอย่างเกี่ยวกับการรักษาความปลอดภัยที่ดีขึ้นในกรณีของDROPDROP

ดังนั้นฉันมีสองคำถาม:

1. กฎสามข้อนี้ทำอะไร

2. มันสร้างความแตกต่างใด ๆ เมื่อฉันใส่มีDROPในสถานที่REJECT --reject-with? ถ้าใช่ความแตกต่างคืออะไร?

กฎสามข้อนี้ทำอะไร

กฎ 3 ข้อนั้นดูเหมือนอธิบายได้ด้วยตนเอง:

1. ปฏิเสธแพ็กเก็ต UDP ขาเข้าที่มีข้อความ ICMP "พอร์ตที่เข้าถึงไม่ได้"
2. ปฏิเสธแพ็กเก็ต TCP ขาเข้าด้วย "tcp reset"
3. ปฏิเสธแพ็กเก็ตที่เข้ามา (ของโปรโตคอลอื่น ๆ ) ด้วยข้อความ ICMP "โปรโตคอลไม่สามารถเข้าถึงได้"

หากคุณกำลังมองหารายละเอียดเพิ่มเติม (เกี่ยวกับแพ็คเก็ต UDP / TCP, ICMP) คุณจะต้องขุดลงในเอกสารเครือข่ายและอาจจะman iptablesเหมือนกัน

มันสร้างความแตกต่างหรือไม่เมื่อฉันวาง DROP ไว้ที่ REJECT --reject-with? ถ้าใช่มีคนอธิบายความแตกต่างให้ฉันฉันจะขอบคุณมันจริงๆ

มันสร้างความแตกต่าง และขัดกับความเชื่อที่นิยมไม่ได้ให้การรักษาความปลอดภัยที่ดีกว่าDROP REJECTมันไม่สะดวกผู้ใช้ที่ถูกกฎหมายและไม่มีการป้องกันจากผู้ประสงค์ร้ายอย่างมีประสิทธิภาพ โพสต์นี้จะอธิบายถึงเหตุผลในรายละเอียด:

http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject

เหตุผลทั่วไปสำหรับการใช้ DROP แทนที่จะปฏิเสธคือการหลีกเลี่ยงการให้ข้อมูลเกี่ยวกับพอร์ตที่เปิดอยู่อย่างไรก็ตามการทิ้งแพ็คเก็ตจะให้ข้อมูลมากเท่ากับการปฏิเสธ

ด้วย REJECT คุณสแกนและจัดหมวดหมู่ผลลัพธ์เป็น "การเชื่อมต่อที่สร้างไว้แล้ว" และ "การเชื่อมต่อถูกปฏิเสธ"

ด้วย DROP คุณจะจัดหมวดหมู่ผลลัพธ์เป็น "การเชื่อมต่อที่สร้างไว้แล้ว" และ "การเชื่อมต่อหมดเวลา"

สแกนเนอร์ที่ไม่สำคัญที่สุดจะใช้ระบบปฏิบัติการ "เชื่อมต่อ" การโทรและจะรอจนกว่าการเชื่อมต่อจะเสร็จสิ้นก่อนที่จะเริ่มการเชื่อมต่อครั้งต่อไป สแกนเนอร์ประเภทนี้จะช้าลงอย่างมากโดยการทิ้งแพ็กเก็ต อย่างไรก็ตามหากการโจมตีตั้งค่าการหมดเวลา 5 วินาทีต่อการพยายามเชื่อมต่อคุณสามารถสแกนทุกพอร์ตที่สงวนไว้ (1..1023) บนเครื่องในเวลาเพียง 1.5 ชั่วโมง การสแกนนั้นเป็นระบบอัตโนมัติเสมอและผู้โจมตีไม่สนใจว่าผลลัพธ์จะไม่ส่งผลในทันที

สแกนเนอร์ที่มีความซับซ้อนมากขึ้นจะส่งแพ็กเก็ตเองแทนที่จะอาศัยการใช้ TCP ของระบบปฏิบัติการ สแกนเนอร์ดังกล่าวมีความรวดเร็วมีประสิทธิภาพและไม่แยแสต่อการเลือก REJECT หรือ DROP

สรุปผลการศึกษา

DROP ไม่มีสิ่งกีดขวางที่มีประสิทธิภาพสำหรับกองกำลังที่เป็นมิตร แต่สามารถชะลอการใช้งานแอพพลิเคชั่นที่ดำเนินการโดยผู้ใช้ที่ถูกกฎหมาย ไม่ควรใช้ DROP