IPtables 中drop与reject的目的都是为了拒绝连接,过滤掉请求
但drop与reject 的拒绝“效果” 是不一样的,举例说明一下:
- 配置举例:
添加了三条规则,1个drop,两个reject:
iptables -A INPUT -p tcp --dport 8088 -j DROP
iptables -A INPUT 5 -p tcp --dport 80 -j REJECT --reject-with tcp-reset
iptables -A INPUT -p tcp --dport 6010 -j REJECT --reject-with icmp-port-unreachable - 测试结果:
对应drop的8088这个端口,连接时的等待时长较长,而reject的端口立即能得到结果:
[root@node1 ~]# telnet 192.168.10.128 8088
Trying 192.168.10.128...
^C
[root@node1 ~]# telnet 192.168.10.128 80
Trying 192.168.10.128...
telnet: connect to address 192.168.10.128: Connection refused
[root@node1 ~]# telnet 192.168.10.128 6010
Trying 192.168.10.128...
telnet: connect to address 192.168.10.128: Connection refused
[root@node1 ~]#
- 使用time nmap 来查看具体的耗时:
语法:time nmap -p 端口 IP,各个端口的耗时如下
- 抓包分析过程
用tcpdump 来抓包,具体看下网络连接过程,就能分析出耗时不同的具体原因了:
在抓包的同时,使用其他命令请求连接到目标端口,可使用nc 命令,语法: nc IP 端口
- 测试8088端口
结果:会一直发送sync请求,直到到达超时时间,返回一个“time out”的结果:
- 测试80 端口
因为规则是–reject-with tcp-reset,直接在第一次请求就返回一个reset:
并且请求的返回结果直接给出“refused”,而不是 “time out”
- 测试6010 端口
因为规则是–reject-with icmp-port-unreachable ,会只发送一次sync,然后就停止:
并直接返回结果“refused”
综上,drop与reject相比,reject更节约时间,更省带宽