Cible DROP

La cible DROP fait exactement ce qu'elle veut dire, elle efface des paquets et n'effectue aucun autre processus supplémentaire. Un paquet qui apparie parfaitement un règle et est ensuite effacé sera bloqué. Notez que cette action peut avoir, dans certains cas, des effets inattendus, car elle peut laisser des interfaces de connexions mortes sur quelque hôte. Une meilleure solution dans ces cas là serait d'utiliser la cible REJECT, spécialement quand vous voulez bloquer le balayage (scan) de ports pour ne pas donner trop d'informations, ou le filtrage de ports, etc. Notez également que si le paquet subit l'action DROP dans une sous-chaîne, ce paquet ne sera traité dans aucune des chaînes principales, soit dans la table présente ou dans une quelconque autre table. Le paquet est, en d'autres termes, totalement mort. Comme nous l'avons vu précédemment, la cible n'enverra aucune autre sorte d'information dans aucune direction, ni par des intermédiaires comme les routeurs.

Fonctionne avec les noyaux Linux 2.3, 2.4, 2.5 et 2.6.