¿Es mejor configurar -j REJECT o -j DROP en iptables?

Hay un ejemplo de reglas de iptables en archlinux wiki:

# Generated by iptables-save v1.4.18 on Sun Mar 17 14:21:12 2013
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:TCP - [0:0]
:UDP - [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -j UDP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
COMMIT
# Completed on Sun Mar 17 14:21:12 2013

Hace unos días, mi amigo me preguntó por qué hay REJECTen las últimas tres reglas. Me dijo que debería DROPhaberlo, y mencionó algo sobre una mejor seguridad en caso de DROP.

Entonces, tengo dos preguntas:

1. ¿Qué hacen las tres reglas?

2. ¿Hay alguna diferencia cuando pongo allí DROPen su lugar REJECT --reject-with? En caso afirmativo, ¿cuál es la diferencia?

¿Qué hacen las tres reglas?

Esas 3 reglas parecen explicarse por sí mismas:

1. Rechace los paquetes UDP entrantes con un mensaje ICMP "puerto inalcanzable"
2. Rechace los paquetes TCP entrantes con "tcp reset"
3. Rechace los paquetes entrantes (de cualquier otro protocolo) con el mensaje ICMP "protocolo inalcanzable"

Si está buscando más detalles (sobre paquetes UDP / TCP, ICMP), necesita profundizar en los documentos de red, y tal vez man iptablestambién.

¿Hay alguna diferencia cuando pongo DROP en su lugar RECHAZAR --rechazar-? Si es así, ¿podría alguien explicarme la diferencia? Realmente lo agradeceré.

Hace la diferencia Y contrario a la creencia popular, DROPno da mejor seguridad que REJECT. Incomoda a los usuarios legítimos, y efectivamente no protege contra los maliciosos. Esta publicación explica el razonamiento en detalle:

http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject

Una razón común para usar DROP en lugar de RECHAZAR es evitar revelar información sobre qué puertos están abiertos, sin embargo, descartar paquetes proporciona exactamente tanta información como el rechazo.

Con REJECT, realiza su análisis y clasifica los resultados en "conexión establecida" y "conexión rechazada".

Con DROP, clasifica los resultados en "conexión establecida" y "conexión agotada".

El escáner más trivial utilizará la llamada "conectar" del sistema operativo y esperará hasta que se complete un intento de conexión antes de comenzar con el siguiente. Este tipo de escáner se ralentizará considerablemente al descartar paquetes. Sin embargo, si el ataque establece un tiempo de espera de 5 segundos por intento de conexión, es posible escanear cada puerto reservado (1..1023) en una máquina en solo 1,5 horas. Los escaneos siempre están automatizados, y al atacante no le importa que el resultado no sea inmediato.

Un escáner más sofisticado enviará paquetes por sí mismo en lugar de depender de la implementación TCP del sistema operativo. Dichos escáneres son rápidos, eficientes e indiferentes a la elección de REJECT o DROP.

CONCLUSIÓN

DROP no ofrece una barrera efectiva contra las fuerzas hostiles, pero puede reducir drásticamente las aplicaciones ejecutadas por usuarios legítimos. DROP normalmente no debe usarse.