質問: iptablesを使用する場合のreject対drop 私が持っていたいと思う理由はありますかiptables -a input -j reject の代わりにiptables -a input -j drop
回答: マシンの存在を完全に隠そうとしている場合は、-j dropが適切です。たとえば、これを使用してブラックリストを実装できます。ポートが開いているという事実を隠そうとしている場合は、ポートが開いていなかった場合に発生する動作を模倣する必要があります。 tcp:-p tcp -j reject --reject-with tcp-reset udp:-p udp -j reject --reject-with icmp-port-unreachable ポートスキャナーが、いくつかのポートがパケットをドロップしているのにほとんどがそれらを拒否していることを検出した場合、ドロップされたパケットは開いているが非表示になっているポートにあると想定できます。