[iptables] DROP vs. REJECT

> При этом на моей машине соответствующее соединение закрывается при любом способе сброса пакета, правильно?

Не совсем. Если до этого был принят SYN-пакет, то в случае последующего DROP'а у тебя будет висеть незакрытое соединение. Убедись, что удалённая сторона вообще не может установить соединение.

Для удалённой стороны DROP выглядит, словно хост недоступен. Но если по другим портам он подает признаки жизни (т.е., шлет RST), то легко понять, что на машинке что под этим портом скрыта служба, и скорее всего, не просто так. Редко, но всё же это может играть важную роль.

Если тебе попытаются забить канал, то используя REJECT, ты будешь себе забивать исходящий. Ещё не следует злоупотреблять REJECT, если у тебя исходящий весьма узок.

>Если до этого был принят SYN-пакет, то в случае последующего DROP'а у тебя будет висеть незакрытое соединение.

В случае REJECT'а оно закроется?

Да.

>Ещё не следует злоупотреблять REJECT, если у тебя исходящий весьма узок.

Таки да, ADSL.

http://ru.wikipedia.org/wiki/TCP#.D0.A3.D1.81.D1.82.D0.B0.D0.BD.D0.BE.D0.B2.D...

используй MIRROR =]

Спасибо!

Злобно!

А если серьезно — так кто-нибудь поступает?

Пожалуй все же стоит дочитать Таненбаума.

>>А если серьезно — так кто-нибудь поступает?

бинди сетевые сервисы только на нужные адреса.

так кто-нибудь поступает?

нет потому что злоумышленник может подменить src ip и через тебя таким образом кого-нить атаковать.

Ставь reject, всё равно кому надо просканируют и с drop, а тебе с reject жить будет проще.

DROP хорош, например, для отлупа тупых брутфорс-ботов. А вообще tarpit наше все :)

Ы.

Я лично дропом лупашу FTP ботов которые ссылки выкладывают или брутфорсеров. По IP :D

>По IP Как именно? Пример можно?

iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP

Мда, действительно, все очевидное просто. А откуда IP мерзавца берешь? Не ручками же из логов выковыриваешь?

Прошу прощения за столь дурацкие вопросы. Я просто раньше не заморачивался настройкой пакетного фильтра, но озаботившись хочу сделать все хорошо.

>А откуда IP мерзавца берешь? Не ручками же из логов выковыриваешь?

fail2ban, не?

Вот как раз-таки выковыриваю ручками из логов proftpd, сравнивая время открытия сессии со временем создания файла. Ну а брутфорсера сложно не заметить :]

Спасибо, что открыл для меня fail2ban :]

Правда, за постинг файлов он, скорее всего, не накажет.

Спасибо за разъяснения.