Quelle est la différence entre DROP et REJECT dans iptables ? Lequel est préférable d'utiliser du point de vue de la sécurité ?

В iptables DROP и REJECT — это два способа блокировки пакетов, но с разным поведением:

• DROP — просто silently discards пакет, то есть пакет просто отбрасывается без уведомления отправителя. Отправитель не получает никакого ответа и может ждать таймаут.

• REJECT — отбрасывает пакет и отправляет обратно ICMP-сообщение об ошибке (например, "port unreachable"), уведомляя отправителя, что пакет отклонён.

С точки зрения безопасности DROP считается более безопасным, так как не раскрывает информацию о наличии или отсутствии сервиса на хосте. REJECT может помочь в диагностике, но потенциально даёт злоумышленнику информацию о состоянии сети.

Поэтому для публичных сервисов и при необходимости скрыть наличие хоста лучше использовать DROP, а для внутренней сети или отладки — REJECT.