Чем отличается DROP от REJECT в iptables? Что лучше использовать с точки зрения безопасности?

В iptables DROP и REJECT — это два способа блокировки пакетов, но с разным поведением:

• DROP — просто silently discards пакет, то есть пакет просто отбрасывается без уведомления отправителя. Отправитель не получает никакого ответа и может ждать таймаут.

• REJECT — отбрасывает пакет и отправляет обратно ICMP-сообщение об ошибке (например, "port unreachable"), уведомляя отправителя, что пакет отклонён.

С точки зрения безопасности DROP считается более безопасным, так как не раскрывает информацию о наличии или отсутствии сервиса на хосте. REJECT может помочь в диагностике, но потенциально даёт злоумышленнику информацию о состоянии сети.

Поэтому для публичных сервисов и при необходимости скрыть наличие хоста лучше использовать DROP, а для внутренней сети или отладки — REJECT.