「無保護無パッチのWindows XP SP1は4分で侵入される」記事へのコメント

ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

ちょっとオフとぴ

ネットワーク管理者へお願い。

アタックされた回数が少なかったのが「ICMP pingリクエストを遮断し」って
一言に反応して、安易に閉じないでね。まあ、個人用のPC程度なら良いのだけ
ど、公開されているサーバで閉じられたり、プロバイダの出入り口で閉じられ
ると困ります。

ところによってはICMP全部閉じたルーターとか有って、それなんかかなり顰蹙
ものです。

RFC2979(2000年)によるとICMPの扱いは

[Livingdead (18685)]

RFC2979 Behavior of and Requirements for Internet Firewalls [ipa.go.jp]によると、次のICMPパケットをブロックするのは正しい事だとかいてありますね。

１) ICMP Echo とEcho Reply
２) 正規の外むきトラフィックに対応していない ICMP Don't Fragment と Fragment Needed
３) ICMP Redirect

個人的には組織のファイアウォールでない、つまり ISP のルータ等では ICMP Echo / Echo Reply には応答してほしいですね。traceroute で見えなくなっちゃうし。まぁ中には TTL すら変化させず完全にステルスになってるルータもあるわけですが。

--
屍体メモ [windy.cx]

自分が不便なので開けてます

[Livingdead (18685)]

自分が管理しているサーバでは、
ICMP echo/reply に無反応だと
自分が不便なので反応するようにしています。

エンドのマシンでは管理者のポリシーでDROPしても
いっこうに構わないと思いますが、ルータで一斉に
DROPされてしまうとたしかにふべんなこともありますね。
traceroute が使えないし。

--
屍体メモ [windy.cx]

Re:ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

なぜ困るんですか？
あなたの都合を先方に押し付けても仕方がないということくらいは理解できると思いますので、
公益に適う理由をご提示くださいな。

Re:ICMP を遮断すれば良いという物ではない。

[tomotomo (14442)]

Path MTU discovery が ICMPの一種だからだと。

http://www.itbook.info/study/p3.html [itbook.info]

Re:ICMP を遮断すれば良いという物ではない。

[tomotomo (14442)]

追記
ICMPによって、到達ホストへの最大MTU長がわからない場合
MTUサイズが違う回線同士で通信する場合にブラックホール現象が
発生し、転送データの消失となる場合があります。

PINGやTRACEROUTE対策なら ICMP ECHO でよかったはず。

Re:ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

＞ブラックホール現象

って、ルータの話じゃないんですか？
ホストでも発生するの？

Re:ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

親元はルーターの話かと。

Re:ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

ん？「ICMP pingリクエストを遮断」する話じゃなかったのか？
type0とtype8の話だからPMTUDには関係ないかと。

Re:ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

以上、困ったチャンの駄々でした。

Re:ICMP を遮断すれば良いという物ではない。

[Anonymous Coward]

ping使わないでtracerouteを使えって、うちの大学では教えています。