Chinaunix

标题: 请问一下天网防火墙中的不允许自己ping别人是怎么做到的? [打印本页]
作者: 流氓我一生    时间: 2003-02-18 09:51
标题: 请问一下天网防火墙中的不允许自己ping别人是怎么做到的?
不许别人ping自己可能是关闭了icmp响应,那自己ping别人呢? 是怎么改动的呢?\r\n用iptables在linux下可以实现么,或者改动linux配置文件可以实现么? 谢谢了
作者: JohnBull    时间: 2003-02-18 11:47
标题: 请问一下天网防火墙中的不允许自己ping别人是怎么做到的?
封锁一切ICMP不是个好主意，这是一种极端自私而无知的做法，是对IP协议的不尊重。\r\n正确的思路应该是限制ICMP报文的发送速度。\r\n\r\n在Linux上，基本上就是对/proc下的某些内核变量做一个修改而已，你可以参考一下：\r\n（摘自《Linux的高级路由和流量控制HOWTO》）\r\n
\r\n/proc/sys/net/ipv4/icmp_destunreach_rate \r\n一旦内核认为它无法发包，就会丢弃这个包，并向发包的主机发送ICMP通知。本变量规定了发送通知的比率。\r\n/proc/sys/net/ipv4/icmp_echo_ignore_all \r\n根本不要响应echo包。请不要设置为缺省，它可能在你正被利用成为DoS攻击的跳板时可能有用。\r\n/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts [Useful] \r\n如果你ping子网的子网地址，所有的机器都应该予以回应。这可能成为非常好用的拒绝服务攻击工具。设置为1来忽略这些子网广播消息。\r\n/proc/sys/net/ipv4/icmp_echoreply_rate \r\n设置了向任意主机回应echo请求的比率。\r\n/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses \r\n设置它之后，可以忽略由网络中的那些声称回应地址是广播地址的主机生成的ICMP错误。\r\n/proc/sys/net/ipv4/icmp_paramprob_rate \r\n一个相对不很明确的ICMP消息，用来回应IP头或TCP头损坏的异常数据包。你可以通过这个文件控制消息的发送比率。\r\n/proc/sys/net/ipv4/icmp_timeexceed_rate \r\n这个在traceroute时导致著名的\"Solaris middle star\"。这个文件控制发送ICMP Time Exceeded消息的比率。\r\n
\r\n\r\n注，所有的*rate变量的值指的是隔多少个jiffies发生一次，PC上是100jiffies/秒，自己换算一下。
作者: JohnBull    时间: 2003-02-18 11:47
标题: 请问一下天网防火墙中的不允许自己ping别人是怎么做到的?
封锁一切ICMP不是个好主意，这是一种极端自私而无知的做法，是对IP协议的不尊重。\r\n正确的思路应该是限制ICMP报文的发送速度。\r\n\r\n在Linux上，基本上就是对/proc下的某些内核变量做一个修改而已，你可以参考一下：\r\n（摘自《Linux的高级路由和流量控制HOWTO》）\r\n
\r\n/proc/sys/net/ipv4/icmp_destunreach_rate \r\n一旦内核认为它无法发包，就会丢弃这个包，并向发包的主机发送ICMP通知。本变量规定了发送通知的比率。\r\n/proc/sys/net/ipv4/icmp_echo_ignore_all \r\n根本不要响应echo包。请不要设置为缺省，它可能在你正被利用成为DoS攻击的跳板时可能有用。\r\n/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts [Useful] \r\n如果你ping子网的子网地址，所有的机器都应该予以回应。这可能成为非常好用的拒绝服务攻击工具。设置为1来忽略这些子网广播消息。\r\n/proc/sys/net/ipv4/icmp_echoreply_rate \r\n设置了向任意主机回应echo请求的比率。\r\n/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses \r\n设置它之后，可以忽略由网络中的那些声称回应地址是广播地址的主机生成的ICMP错误。\r\n/proc/sys/net/ipv4/icmp_paramprob_rate \r\n一个相对不很明确的ICMP消息，用来回应IP头或TCP头损坏的异常数据包。你可以通过这个文件控制消息的发送比率。\r\n/proc/sys/net/ipv4/icmp_timeexceed_rate \r\n这个在traceroute时导致著名的\"Solaris middle star\"。这个文件控制发送ICMP Time Exceeded消息的比率。\r\n
\r\n\r\n注，所有的*rate变量的值指的是隔多少个jiffies发生一次，PC上是100jiffies/秒，自己换算一下。
作者: adrianke    时间: 2003-02-19 09:59
标题: 请问一下天网防火墙中的不允许自己ping别人是怎么做到的?
我觉的是应该在IANA中定义ICMP的服务类型,只允许有用的ICMP服务存在。
作者: 1000g.net    时间: 2003-04-27 22:09
标题: 请问一下天网防火墙中的不允许自己ping别人是怎么做到的?
我们是北京的硬件厂商，我们最近要开发防火墙系统，如能兼职帮助开发的朋友请来信，报酬优厚，sunet@xinhuanet.com   或者在QQ谈 76842750   我们就是想搞基于PC架构的那种防火墙，使用unix模块就行，我们打算批量生产！



欢迎光临 Chinaunix (http://bbs.chinaunix.net/) Powered by Discuz! X3.2