Es hört sich so an, als würden Sie dem Mantra "ICMP IS EVIL" zum Opfer fallen.
ICMP ist NICHT böse, sondern wird nur missverstanden. Die traurige Realität ist, dass viele Administratoren befürchten, was sie nicht verstehen, und deshalb ICMP aus ihrem Netzwerkuniversum entfernen, es auf der Ebene der Rand-Firewall meiden und verhindern, dass es zum Nutzen ihres Netzwerks seinen richtigen und richtigen Platz einnimmt.
Lassen Sie mich dennoch Ihre Fragen beantworten:
Welche Arten von ICMP-Nachrichten können schädlich sein und warum?
So ziemlich alle.
EchoPakete können verwendet werden, um Dienste zu stören (insbesondere für Systeme mit schlecht implementierten IP-Stacks); Bei rechtmäßiger Verwendung können sie Informationen über Ihr Netzwerk geben.
Destination Unreachablekann böswillig injiziert werden; Bei rechtmäßiger Verwendung können sie Informationen über * Ihre Firewall / Routing-Struktur oder über einen bestimmten Computer in Ihrem Netzwerk bereitstellen.
Source Quench kann böswillig gesendet werden, damit Ihr Server effektiv in einer Ecke sitzt und an seinem Daumen saugt.
redirect kann verwendet werden, wie der Name schon sagt.
router advertisementund router solicitationAnforderungen können verwendet werden, um "interessante" Verkehrstopologien zu erstellen (und MITM-Angriffe zu erleichtern), wenn Ihre Hosts diese tatsächlich beachten.
traceroutewurde entwickelt , um Informationen zur Netzwerktopologie bereitzustellen.
…usw...
Die Namen der verschiedenen ICMP-Nachrichten beschreiben ziemlich genau, wozu sie in der Lage sind. Üben Sie Ihre angeborene Paranoia aus, indem Sie sich Alptraumszenarien ausdenken :-)
Wie soll ich einen iptables-Regelsatz für jeden ICMP-Pakettyp gestalten?
Wenn Sie keinen guten Grund haben, sich mit dem ICMP-Verkehr herumzuschlagen, lassen Sie es in Ruhe!
Das Herumspielen mit ICMP-Verkehr verhindert die angemessene Verwendung von ICMP-Nachrichten (Verkehrsmanagement und Fehlerbehebung) - dies ist eher frustrierend als hilfreich.
Sollte ich eine dieser Arten von ICMP-Paketen auf die Rate beschränken? Und wie?
Dies ist möglicherweise die einzige legitime Ausnahme von der Philosophie "Lass es die Hölle in Ruhe". ICMP-Nachrichten mit Raten- oder Bandbreitenbegrenzung können hilfreich sein, um der illegitimen Verwendung der ICMP-Nachrichten zu entgehen. FreeBSD wird standardmäßig mit ICMP-Bandbreiten- / Ratenbegrenzung geliefert , und ich gehe davon aus, dass Linux über ähnliche Funktionen verfügt.
Die Begrenzung der Rate / Bandbreite ist einer pauschalen Firewall-Regel, die den ICMP-Verkehr löscht, weitaus vorzuziehen: Sie ermöglicht es ICMP weiterhin, seinen Zweck im Netzwerk zu erfüllen, und verringert auch teilweise Versuche, Ihren Server zu missbrauchen.
Das Obige stellt die Meinung eines Systemadministrators dar, der seinerseits FREAKIN 'MÜDE ist, FEHLERSUCHE-NETZWERKE ZU HABEN, IN DENEN DER gesamte ICMP-VERKEHR ABGEFALLEN IST - Es ist ärgerlich, frustrierend und dauert länger, Probleme zu finden und zu beheben. :-)