Політика брандмауера ICMP для стандартного робочого столу ubuntu

1

Про стандартний настільний комп'ютер, який працює Ubuntu 12.04за маршрутизатором NAT, які ICMPпакети потрібно прийняти в брандмауері iptables?

Здається, часто є суперечливі поради; одні кажуть, що блокувати ICMPповністю, інші кажуть, що потрібно ICMPособливо для речей, що встановлюються MTU(уникати MTU black holesтощо). Що таке хороша ICMPполітика для комп'ютера, як описано вище?

Чи достатньо буде дозволити вихідні ICMPта вхідні RELATED/ESTABLISHED, або чи дійсно слід відкривати вхідний порт для певних типів NEW ICMPпакетів?

ubuntu  networking  firewall  iptables  icmp 
— fpghost
джерело

Відповіді:

1

Наскільки я знаю, не повинно виникнути проблем, якщо ви заблокуєте вхідний ICMP для настільного комп’ютера.

І якщо ваш комп'ютер знаходиться за маршрутизатором NAT і використовує внутрішній IP - зовнішній трафік ICMP все одно не досягне цього.

Але якщо ви заблокуєте його повністю, ви не зможете пінговувати зовнішні мережі. Якщо ви бажаєте зробити це, вам потрібно вказати правило PERMIT для вхідних пакетів ехо-відповідей ICMP.

— VL-80
джерело
Деякі ICMP , здається, отримує через маршрутизатор до iptablesхоча: netfilter:in dropped: IN=eth1 OUT= MAC=********* SRC=80.101.144.29 DST=192.168.1.79 LEN=88 TOS=0x00 PREC=0x00 TTL=50 ID=40460 PROTO=ICMP TYPE=3 CODE=3 [SRC=192.168.1.79 DST=80.101.144.29 LEN=60 TOS=0x00 PREC=0x00 TTL=53 ID=6658 DF PROTO=TCP SPT=50060 DPT=32435 WINDOW=14600 RES=0x00 SYN URGP=0 ]. Це було мені недоступною відповіддю, після того, як мій комп'ютер спробував SYN ще через peer2peer.
— fpghost
Крім того, я не впевнений, що це правда, що ЗВ'ЯЗАНІ / Встановлені не можна використовувати з ICMP, дивіться тут: cyberciti.biz/tips/linux-iptables-9-allow-icmp-ping.html
— fpghost
1
Дякую, що ви вказали. Я видалив цей рядок зі своєї відповіді. Що стосується питання - якби я був на вашому місці, я б просто заблокував ICMP і побачив, як це проходить протягом двох днів. Якщо все буде добре - не турбуйте себе і залишайте так. Якщо виникнуть проблеми - тоді досліджуйте. Передчасна оптимізація - корінь усього зла (:
— VL-80
1
Я просто це гуглила. Знайшов одну статтю про це. Перейдіть до розділу "Тепер, до проблеми з фільтруванням ICMP та PMTU-D ..."
— VL-80
1
дякую, чудове посилання. Здається iptables -A INPUT -p icmp --icmp-type 3/4 -j ACCEPT, напевно, потрібно, щоб я міг почути маршрутизатор з проханням зменшити розмір пакету. Ще одне хороше посилання: eugene.oregontechsupport.com/articles/icmp.txt
— fpghost
Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.