iptables drop与reject 的区别

IPtables 中drop与reject的目的都是为了拒绝连接，过滤掉请求
但drop与reject 的拒绝“效果” 是不一样的，举例说明一下：

• 配置举例：
  添加了三条规则，1个drop，两个reject：
  iptables -A INPUT -p tcp --dport 8088 -j DROP
  iptables -A INPUT 5 -p tcp --dport 80 -j REJECT --reject-with tcp-reset
  iptables -A INPUT -p tcp --dport 6010 -j REJECT --reject-with icmp-port-unreachable
• 测试结果：
  对应drop的8088这个端口，连接时的等待时长较长,而reject的端口立即能得到结果：

[root@node1 ~]# telnet 192.168.10.128 8088
Trying 192.168.10.128...
^C
[root@node1 ~]# telnet 192.168.10.128 80
Trying 192.168.10.128...
telnet: connect to address 192.168.10.128: Connection refused
[root@node1 ~]# telnet 192.168.10.128 6010
Trying 192.168.10.128...
telnet: connect to address 192.168.10.128: Connection refused
[root@node1 ~]# 

• 使用time nmap 来查看具体的耗时：
  语法：time nmap -p 端口 IP，各个端口的耗时如下
  
• 抓包分析过程

用tcpdump 来抓包，具体看下网络连接过程，就能分析出耗时不同的具体原因了：
在抓包的同时，使用其他命令请求连接到目标端口，可使用nc 命令，语法： nc IP 端口

1. 测试8088端口
   结果：会一直发送sync请求，直到到达超时时间，返回一个“time out”的结果：
   
   
2. 测试80 端口

因为规则是–reject-with tcp-reset，直接在第一次请求就返回一个reset：
并且请求的返回结果直接给出“refused”，而不是 “time out”

3. 测试6010 端口
   因为规则是–reject-with icmp-port-unreachable ，会只发送一次sync，然后就停止：
   
   并直接返回结果“refused”
   

综上，drop与reject相比，reject更节约时间，更省带宽