用iptables -j REJECT替代-j DROP可让客户端或扫描器立刻收到反馈而非等待30–120秒超时；需按协议选--reject-with类型（如tcp-reset、icmp-port-unreachable），置于INPUT链ESTABLISHED规则后、服务ACCEPT前，并配合LOG和recent模块提升可追溯性与精准度。
用 iptables -j REJECT 替代 -j DROP 拒绝非法扫描，核心是让客户端或扫描器“立刻收到反馈”，而不是干等超时（30–120秒）。它不隐藏主机存在，但能缩短响应延迟、降低扫描器误判概率，并提升日志可追溯性。
选对 --reject-with 类型，避免静默失败
REJECT 必须配合协议指定响应方式，否则可能不发包、报错或被客户端忽略：
- TCP 扫描（如 SYN 扫描）：用
--reject-with tcp-reset—— 主动发 RST，客户端秒级报 Connection refused - UDP 扫描（如 DNS/NTP 探测）：用
--reject-with icmp-port-unreachable—— 标准不可达响应，不暴露监听状态 - ICMP 扫描（如 ping 探测）：用
--reject-with icmp-net-unreachable或icmp-host-unreachable—— 模拟网络中断，让 nmap 归类为 closed 或跳过 - 避免
icmp-host-prohibited：nmap 直接标记为 filtered，等于告诉攻击者“这里有防火墙”
规则位置要合理，防止误拦或无效响应
REJECT 规则生效依赖链顺序和数据包所处阶段：
- 必须放在
INPUT链，且在ESTABLISHED,RELATED允许规则之后、具体服务ACCEPT规则之前 - 不要对已建立连接（
state --state ESTABLISHED）使用 REJECT，否则会中断合法会话 - 慎用在
FORWARD或PREROUTING链：DNAT 后源地址可能错乱，ICMP 响应发不出去；这类场景优先用 DROP - 若需防扫描且不想暴露，可在 REJECT 规则后加一条
-j DROP作为兜底（例如先伪装再静默）
结合 recent 模块识别慢速扫描，提升精准度
单纯按端口或协议拒绝容易误伤；用访问频次建模，更能区分真实用户与试探行为：
- 记录每 IP 的新 SYN 请求：
iptables -A INPUT -p tcp --syn -m recent --name scanlog --set -j ACCEPT - 60 秒内触发 5 次以上，即判定为慢扫：
iptables -A INPUT -m recent --name scanlog --rcheck --seconds 60 --hitcount 5 -j REJECT --reject-with icmp-host-unreachable - 搭配 LOG 规则便于验证：
-j LOG --log-prefix "SCAN-REJECT: "，用dmesg | grep SCAN实时查看
验证是否真正生效，别只看规则是否存在
写完规则不等于起效，需确认流量是否命中、响应是否发出：
- 查计数器：
iptables -L INPUT -v -n | grep REJECT，看 pkts 列是否增长 - 抓包验证：
tcpdump -i any port 22 and host 192.168.100.50，检查是否收到 RST 或 ICMP 不可达包 - 观察连接跟踪：
conntrack -E | grep 192.168.100.50，REJECT 触发后不应出现ASSURED状态 - 客户端测试：
telnet 服务器IP 22应立刻返回 Connection refused，而非卡住
