質問: -a input -j reject --reject-with icmp-host-prohibited iptables行は正確に何をしますか? redhat iptablesのドキュメントを読んでいますが、次の行で何ができるのかわかりません。... -j reject **--reject-with icmp-host-prohibited** ... -j reject **--reject-with icmp-host-prohibited**
回答: rejectターゲットはパケットを拒否します。拒否するicmpメッセージを指定しない場合、サーバーはデフォルトで到達不能なicmpポート(タイプ3、コード3)を送り返します。--reject-withは、この動作を変更して、特定のicmpメッセージを送信元ホストに送り返します。 --reject-withと利用可能な拒否メッセージに関する情報は man iptables にあります。 拒否 これは、一致したパケットへの応答としてエラーパケットを送り返すために使用されます。それ以外の場合は、dropと同等であるため、targetを終了し、ルールトラバースを終了します。このターゲットは、input、forward、outputチェーン、およびこれらのチェーンからのみ呼び出されるユーザー定義チェーンでのみ有効です。次のオプションは、返されるエラーパケットの性質を制御します。 --reject-with type 指定できるタイプは次のとおりです。 icmp-net-unreachable icmp-host-unreachable icmp-port-unreachable icmp-proto-unreachable icmp-net-prohibited icmp-host-prohibitedまたは icmp-admin-prohibited(*) 適切なicmpエラーメッセージを返します(ポート到達不能がデフォルトです)。オプションtcp-resetは、tcpプロトコルにのみ一致するルールで使用できます。これにより、tcp rstパケットが送り返されます。これは主に役立ちます壊れたメールホストにメールを送信するときに頻繁に発生するident(113/tcp)プローブをブロックします(それ以外の場合はメールを受け入れません)。 (*)icmp-admin-prohibitedをサポートしていないカーネルで使用すると、rejectではなくプレーンdropになります。