Dotaz: Filtrování ICMP paketů

[Phil]

Dobrý den,

je smysluplné (z hlediska bezpečnosti) takto filtrovat ICMP pakety na routeru/serverech (CentOS 5.2) a pokud ano, nezpůsobí zahození ostatních ICMP problémy na síti?

:INPUT DROP
-A INPUT -p icmp -i eth0 --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -i eth0 --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -i eth0 --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -i eth0 --icmp-type 11 -j ACCEPT

Děkuji za vaše názory.

--------
Jinak v /proc/sys/net/ipv4/ mám nastaveno:

icmp_echo_ignore_broadcasts   1
icmp_ignore_bogus_error_responses   1
icmp_ratelimit    1000
icmp_ratemask   6168
 

Odpovědi

[NN]

Dobry den,

Ja to vidim v pohode, jen tam nemam type 3

a jeste se to da rozsirit o IPv6, tedy 33, 34.

Problemy nemam, traceroute se resi jinak,

ale to jsem nedotah.

 

NN

[pasmen]

Já bych povolil ještě typ 5, což je redirekt.

[cronin]

Filtrovaním ICMP si značne obmedzuješ možnosti diagnostiky sieťových problémov, obvzlášť v situácii, keď túto diagnostiku budeš chcieť robiť vzdialene.