En règle générale, utilisez REJECT lorsque vous voulez que l'autre extrémité sache que le port est inaccessible' utilisez DROP pour les connexions aux hôtes que vous ne voulez pas que les gens voient.
En général, toutes les règles pour les connexions à l'intérieur de votre réseau local devraient utiliser REJECT. Pour l'Internet, à l'exception de l'ident sur certains serveurs, les connexions provenant de l'Internet sont généralement DROPPED.
L'utilisation de DROP donne l'impression que la connexion est établie vers une adresse IP inoccupée. Les scanners peuvent choisir de ne pas continuer à scanner les adresses qui semblent inoccupées. Étant donné que le NAT peut être utilisé pour rediriger une connexion sur le pare-feu, l'existence d'un service bien connu n'indique pas nécessairement l'existence d'un serveur sur une adresse.
Ident doit être accepté ou rejeté sur toute adresse fournissant un service SMTP. Cependant, l'utilisation des recherches d'identité par les services SMTP est tombée en désuétude. Il existe des protocoles de chat qui reposent également sur un service d'identification fonctionnel.
EDIT : En utilisant les règles DROP : - Les paquets UDP seront abandonnés et le comportement sera le même que celui d'une connexion à un port non câblé et sans service. - Les paquets TCP renverront un ACK/RST qui est la même réponse qu'un port ouvert sans service. Certains routeurs répondront par un ACK/RST au nom des serveurs qui sont hors service.
En utilisant les règles REJECT, un paquet ICMP est envoyé pour indiquer que le port est indisponible.
