☰

如何將資料包丟棄到關閉的連接埠而不是拒絕？

tag-icon • tag-icon 14.04 iptables
如何將資料包丟棄到關閉的連接埠而不是拒絕？

當我連接到關閉的連接埠時，我收到“連接被拒絕”。我不想在 Ubuntu 14.04 中停用發送此回應。

我可以做嗎？

答案1

您可以使用 iptables 、 DROP 與 REJECT 來做到這一點。

句法

iptables -option [鏈] [規則] -j [目標]

拒絕

iptables -P INPUT REJECT --reject-with icmp-host-prohibited

降低

iptables -P INPUT DROP

筆記：-j不與 -P 選項一起使用，請在編輯前參閱 iptables 文件 -https://help.ubuntu.com/community/IptablesHowTo?action=show&redirect=Iptables#Disabling_the_firewall

使用連接埠 22 的範例（這裡我們使用 -j ）

拒絕

iptables -A INPUT -p tcp ! --dport 22 -j REJECT --reject-with icmp-host-prohibited

或用 DROP

iptables -A INPUT -p tcp ! --dport 22 -j DROP

IMO 拒絕優於丟棄

丟棄並不比拒絕更安全（儘管可能會說“屏蔽”）。

  • 破解者不會遵守“超時”，因此它實際上不會以任何方式減慢破解者的速度。
  • 由於缺乏回應，Drop 會告訴破解者您的 IP 位址。
  • 查看 nmap 和 map 等工具來測試 LAN 上的電腦。https://nmap.org/book/man-os-detection.html

看http://bodhizazen.com/Tutorials/iptables

和http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject

如果您需要協助調試 iptables，請發布您的整套規則，因為規則的語法和順序都很重要。

相關內容