Firewall - jaka jest różnica między „deny a reject”?

[mistrz1]

Zastanawiam się jaką opcję wybrać w ustawieniach firewalla, deny, czy reject? Jaka jest różnica między nimi i jakie są efekty działań każdej z nich?

[jakubd]

Reject - aktywnie odpowiada próbującemu, że sorry, tutaj ruch jest zablokowany.
Deny - pakiet przychodzący od razu jest wywalany do kosza, a druga strona nie dostaje żadnej odpowiedzi i wisi na timeoutcie - wygląda to tak, jakby pakiety ginęły w czarnej dziurze i nie wiadomo z punktu widzenia nadawcy, czy coś tam jest, czy nie.

Decyzja zależy od polityki bezpieczeństwa i celu ochrony.

[mistrz1]

W laptopie z Kubuntu, która wersja jest korzystniejsza? Korzystanie z Hotspotów publicznych, przeglądanie internetu.

[jakubd]

Dla przeciętnego użytkownika - bez znaczenia.

[mistrz1]

A czy w ogóle włączać Firewalla? Spotkałem się ze stwierdzeniem, że nie ma potrzeby, zwłaszcza na Linuksie. Na Ubuntu po instalacji Firewall jest wyłączony i trzeba samemu włączyć. Są sytuacje, w których należy włączyć i takie, kiedy można wyłączyć?

[mistrz1]

„Reject: The system will deny entry traffic to a port and will inform the requesting for connection system that it has been rejected.” – oznacza, że informuje nadawcę o odrzuceniu połączenia?

https://help.ubuntu.com/community/Gufw

[K4r0lSz]

Tak to można przetłumaczyć.

[jakubd]

Wygląda na to, że wyżej pomyliłem Reject z Deny. W iptables używało się dwóch metod: Reject i Drop. Widzę, że dla ludzi zamiast drop (wyrzuć pakiet do kosza) zrobili Deny i zrobiło się mniej jasno - swój post wyżej poprawiłem.

[mistrz1]

Jest jakaś prosta metoda, żeby sprawdzić jak to działa?

[jakubd]

Musisz mieć taką maszynę, w której ustawiłeś sobie na którymś porcie DENY (powiedzmy 6677), a na innym REJECT (7788) - na samych tych portach nie musi działać żadna faktyczna usługa, jeżeli testujemy odrzucanie pakietów.
Robisz potem:

Kod:

telnet adres.maszyny.testowej 6677

i dostaniesz dla Reject: natychmiast odpowiedź, że host odmawia połączenia.
dla

Kod:

telnet adres.maszyny.testowej 7788

będzie DROP, a więc będziesz czekał, a potem po timeoutcie - wyskoczy informacja, że host nie odpowiedział na żądanie połączenia (host może być wyłączony).