ufw 거부 및 거부 사이의 Linux 방화벽 차이

Question

복잡하지 않은 방화벽 ufw을 사용하여 거부/거부하도록 포트/서비스를 설정할 수 있습니다.

ufw deny www 

ufw reject www 

누군가가 나에게 두 가지 접근 방식의 차이를 설명 할 수 : 예를 들어

?

Answer 1

"거부"는 들어오는 패킷을 자동으로 삭제하는 DROP iptables 대상을 사용합니다.

"reject"는 거부 된 패킷의 발신자에게 오류 패킷을 다시 보내는 REJECT iptables 대상을 사용합니다. ufw manual page에서

:

을 때로는 트래픽이 단순히 그것을 무시하는 것보다, 가 거부 될 때 보낸 사람이 알 수 있도록하는 것이 바람직하다. 이러한 경우 deny 대신 reject 을 사용하십시오. 서버에 연결하려는 사용자/프로그램의 관점에서

: 밖으로 연결 시도 시간이 될 때까지 대기하는 프로그램을 유지합니다

• "거부", 약간 짧은 시간 후에.

• "거부"는 즉각적이고 매우 유익한 "Connection refused"메시지를 생성합니다. 편집

: 보안 관점에서

는 "부인은"약간보다 더 낫다입니다. 잠재적 인 공격자와의 모든 연결이 강제로 종료되므로 서버 탐색 시간이 느려집니다.

경험 많은 공격자 또는 결정한 공격자는 실제로 영향을받지 않습니다. 대개 환자이며 느려지기를 처리 할 수있는 몇 가지 방법이 있습니다. 그래도 nmap 매뉴얼 페이지를 읽지 않아도 가끔은 지망생을 실망시킬 수도 있습니다.

"거부"는 오류 패킷을 보내지 않음으로써 업 링크에 약간의 대역폭을 절약합니다. 이것은 DoS 공격이 오류 패킷으로 - 일반적으로 더 좁은 - 업 링크를 포화시킬 수있는 비대칭 네트워크 연결에서 중요 할 수 있습니다.

반면에, 사람들이 자신의 연결을 거부하고 있음을 알리는 것은 좀 더 예의입니다. 거부 된 연결은 사람들이 예를 들어, 정책 결정보다는 영구 정책 결정 일 가능성이 있음을 알립니다. 단기적인 네트워킹 문제.