From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <wrar@altlinux.ru>
Date: Thu, 27 Nov 2003 20:52:28 +0500
From: Andrey Rahmatullin <wrar@altlinux.ru>
To: community@altlinux.ru
Subject: [Comm] DROP vs. REJECT (was: Linux Gate)
Message-ID: <20031127155228.GA2640@wrars-comp.wrarsdomain>
Mail-Followup-To: community@altlinux.ru
References: <3FC34DE5.90405@ricom.ru>
	<20031126075223.GC11169@localhost.localdomain>
	<3FC47526.1050302@ricom.ru>
	<20031126125615.GB25325@localhost.localdomain>
	<3FC4C09B.7000903@ricom.ru>
	<20031127030251.GF30675@localhost.localdomain>
	<1695420140.20031127103015@gnk.krasnoyarsk.ru>
	<20031127040452.GA1581@localhost.localdomain>
	<20031127080709.GH10424@osdn.org.ua>
Mime-Version: 1.0
Content-Type: multipart/signed; micalg=pgp-sha1;
	protocol="application/pgp-signature"; boundary="UlVJffcvxoiEqYs2"
Content-Disposition: inline
In-Reply-To: <20031127080709.GH10424@osdn.org.ua>
User-Agent: Mutt/1.4.1i
X-Operating-System: ALT Linux Sisyphus (20031103)
X-Window-System: 4.3.0
X-Spam-Status: No, tests=bogofilter, spamicity=0.500479, version=0.12.3
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.1.3
Precedence: list
Reply-To: community@altlinux.ru
List-Id: <community.altlinux.ru>
List-Unsubscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Archive: </pipermail/community>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
X-List-Received-Date: Thu, 27 Nov 2003 16:01:16 -0000
Archived-At: <http://lore.altlinux.org/community/20031127155228.GA2640@wrars-comp.wrarsdomain/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>


--UlVJffcvxoiEqYs2
Content-Type: text/plain; charset=windows-1251
Content-Disposition: inline
Content-Transfer-Encoding: 8bit

On Thu, Nov 27, 2003 at 10:07:09AM +0200, Michael Shigorin wrote:

[...]
> Еще полезно
> 
> -A INPUT -m state --state INVALID,NEW -j DROP
> 
> и в конце (при этом chain policy == ACCEPT)
> 
> -A INPUT -j REJECT --reject-with icmp-host-unreachable
> 
> -- если не требуется именно дропать (большой паразитный трафик),
> то это сделает наш файрвол внешне неотличимым от просто
> открытых/закрытых портов.
[...]

Кстати, чем сброс лучше/хуже режекта? Я так понимаю, при дропе удаленная
маштеа получает просто таймаут, а при режекте что-то типа "нет такого
адреса" (icmp-host-unreachable) либо "в подключении отказано" (tcp-reset)?
Тогда что в каких случаях предпочтительнее? (вообще в принципе и конкретно
для диалапного десктопа без локалки)

-- 
По "техническим причинам" я буду молчать или реагировать с бооольшой
задержкой на все почтовое в лучшем случае до понедельника следующей недели.
		-- ldv in devel@

--UlVJffcvxoiEqYs2
Content-Type: application/pgp-signature
Content-Disposition: inline

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)

iD8DBQE/xh28B4Vf7hFmt5URAo8jAJ0RabRhjWVqetjfqYU5ujTnYsFTyACfX0qd
hEaaV6f0blvxWGa5JNuhjow=
=WT88
-----END PGP SIGNATURE-----

--UlVJffcvxoiEqYs2--