O uso do iptables DROP target cause TCP CLOSE_WAIT que nunca será concluído?

Question

Eu tenho algumas regras simples para bloquear certos blocos de IP usados com frequência por hackers / spammers, por exemplo:

iptables -A INPUT -s 173.208.250.0/24 -j DROP

Mas notei que o apache trava após alguns dias com muitos CLOSE_WAITs mostrando na saída do netstat que nunca desaparecem:

\# netstat -atlpn
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name
tcp        1      0 ::ffff:10.0.0.107:80        ::ffff:63.141.243.26:50813  CLOSE_WAIT  29125/httpd

Isso pode ser causado pela especificação do destino DROP na regra? Devo usar o REJECT?

    

Answer 1

Não. Isso significa que a extremidade mais distante fechou a conexão, mas ela ainda não foi fechada localmente.

Eliminar todo o tráfego de uma fonte significa que nenhuma conexão será estabelecida.