refus ou délai dépassé (RST ou silence)

Les deux façons dont une poignée de main TCP échoue, et elles n'accusent pas les mêmes suspects. Connection refused est un RST que le noyau de la destination a fabriqué et renvoyé parce qu'aucun socket ne correspondait au port : il arrive en un aller-retour, 23 ms à travers internet, et il prouve que votre paquet a été livré à une machine vivante. « Refusé, c'est le pare-feu qui me bloque » est donc exactement à l'envers : un filtre qui bloque jette le SYN, et jeter produit du silence. Votre noyau réémet alors, six fois — net.ipv4.tcp_syn_retries —, puis rapporte Connection timed out un peu plus de deux minutes après. Un refus vous envoie sur la machine, vers ss -ltn. Le silence vous envoie entre les machines : l'adresse, la route, puis le filtre.