Linux防火墙REJECT与DROP的区别
  

牵网线的 31214人觉得有帮助

{{ttag.title}}
本帖最后由 牵网线的 于 2022-6-13 17:24 编辑

Linux防火墙内的策略动作有REJECT和DROP两种,区别如下:
1.、REJECT动作会返回一个拒绝(终止)数据包(TCP FIN或UDP-ICMP-PORT-UNREACHABLE),明确的拒绝对方的连接动作。
连接马上断开,Client会认为访问的主机不存在。REJECT在IPTABLES里面有一些返回参数,参数如下:ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset(这个封包会要求对方关闭联机),进行完此处理动作后,将不再比对其它规则,直接中断过滤程序。
2、DROP动作只是简单的直接丢弃数据,并不反馈任何回应。需要Client等待超时,Client容易发现自己被防火墙所阻挡。
至于使用DROP还是REJECT更合适一直未有定论,因为的确二者都有适用的场合:
1、REJECT是一种更符合规范的处理方式,并且在可控的网络环境中,更易于诊断和调试网络/防火墙所产生的问题;
2、DROP则提供了更高的防火墙安全性和稍许的效率提高,但是由于DROP不很规范(不很符合TCP连接规范)的处理方式,可能会对你的网络造成一些不可预期或难以诊断的问题。因为DROP虽然单方面的中断了连接,但是并不返回任何拒绝信息,因此连接客户端将被动的等到tcp session超时才能判断连接是否成功,这样早企业内部网络中会有一些问题,例如某些客户端程序或应用需要IDENT协议支持(TCP Port 113, RFC 1413),如果防火墙未经通知的应用了DROP规则的话,所有的同类连接都会失败,并且由于超时时间,将导致难以判断是由于防火墙引起的问题还是网络设备/线路故障。

注:在部署防火墙时,如果是面向企业内部(或部分可信任网络),那么最好使用更绅士REJECT
方法,对于需要经常变更或调试规则的网络也是如此;而对于面向危险的Internet/Extranet的防火墙,
则有必要使用更为粗暴但是安全的DROP方法,可以在一定程度上延缓黑客攻击的进度(和难度,至少,DROP
可以使他们进行TCP-Connect方式端口扫描时间更长)。

打赏鼓励作者,期待更多好文!

打赏
9人已打赏

点线网 发表于 2022-6-14 10:10
  
果然是高手在民间,楼主帖子写的不错,很有参考价值,还想看更多精彩分享,期待楼主下一篇好帖!
怪兽君 发表于 2022-6-15 08:43
  
感谢分享,日常学习。。。。。
飞翔的苹果 发表于 2022-6-15 08:45
  
感谢分享,日常学习。。。。。
guafeng00 发表于 2022-6-15 09:47
  
帖子写的不错,很有参考价值
司马缸砸了光 发表于 2022-6-15 15:00
  

感谢分享,日常学习。。。。。
JM 发表于 2022-6-15 15:36
  

感谢分享,日常学习。。。。。
糖果星球 发表于 2022-6-15 23:15
  
感谢分享,日常学习。。。。。
guafeng00 发表于 2022-6-16 08:39
  
帖子写的不错,很有参考价值
山东_郑文凯 发表于 2022-6-16 08:55
  

感谢分享,日常学习。。。。。
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
干货满满
技术笔记
标准化排查
新版本体验
GIF动图学习
产品连连看
技术晨报
每周精选
安装部署配置
功能体验
技术咨询
信服课堂视频
玩转零信任
自助服务平台操作指引
用户认证
运维工具
2023技术争霸赛专题
秒懂零信任
答题自测
问题分析处理
每日一记
解决方案
VPN 对接
社区帮助指南
通用技术
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
流量管理
云计算知识
原创分享
sangfor周刊
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播

本版版主

12
185
6

发帖

粉丝

关注

本版达人

LoveTec...

本周分享达人

新手24116...

本周提问达人