linux - ufw Linux 防火墙拒绝和拒绝之间的区别

关闭。这个问题不符合 Stack Overflow guidelines 。它目前不接受答案。












想改善这个问题吗？更新问题，以便堆栈溢出为 on-topic。

5年前关闭。



Improve this question




使用简单的防火墙 ufw ，我可以将端口/服务设置为拒绝和拒绝。

例如:

ufw deny www

ufw reject www

有人可以向我解释这两种方法之间的区别吗？

最佳答案

“拒绝”使用 DROP iptables 目标，它会默默地丢弃传入的数据包。

“reject”使用 REJECT iptables 目标，它将错误数据包发送回被拒绝数据包的发送者。

从 ufw manual page :



从尝试连接到您的服务器的用户/程序的角度来看:

"deny"将使程序等待直到连接尝试超时，一段时间后。

"reject"会立即产生一条信息量很大的 "Connection denied"消息。

编辑:

从安全的角度来看，“拒绝”稍微更可取。它会强制来自潜在攻击者的每个连接超时，从而减慢对服务器的探测。

有经验和/或有决心的攻击者不会真正受到影响——他们通常很有耐心，无论如何，有几种方法可以解决问题。不过，它可能会阻止那些甚至懒得阅读 nmap 手册页的偶尔想要的人。

“拒绝”还会通过不发送错误数据包在上行链路上节省一点带宽。这对于非对称网络连接可能很重要，在这种情况下，DoS 攻击可以简单地用错误数据包使上行链路(通常较窄)饱和。

另一方面，让人们知道你在拒绝他们的联系会更有礼貌一些。被拒绝的连接让人们知道这很可能是一个永久性的政策决定，而不是例如一个短期的网络问题。

关于linux - ufw Linux 防火墙拒绝和拒绝之间的区别，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/4907173/