请问一下天网防火墙中的不允许自己ping别人是怎么做到的?

流氓我一生

不许别人ping自己可能是关闭了icmp响应,那自己ping别人呢? 是怎么改动的呢?
用iptables在linux下可以实现么,或者改动linux配置文件可以实现么? 谢谢了

JohnBull

封锁一切ICMP不是个好主意，这是一种极端自私而无知的做法，是对IP协议的不尊重。
正确的思路应该是限制ICMP报文的发送速度。

在Linux上，基本上就是对/proc下的某些内核变量做一个修改而已，你可以参考一下：
（摘自《Linux的高级路由和流量控制HOWTO》）

/proc/sys/net/ipv4/icmp_destunreach_rate
一旦内核认为它无法发包，就会丢弃这个包，并向发包的主机发送ICMP通知。本变量规定了发送通知的比率。
/proc/sys/net/ipv4/icmp_echo_ignore_all
根本不要响应echo包。请不要设置为缺省，它可能在你正被利用成为DoS攻击的跳板时可能有用。
/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts [Useful]
如果你ping子网的子网地址，所有的机器都应该予以回应。这可能成为非常好用的拒绝服务攻击工具。设置为1来忽略这些子网广播消息。
/proc/sys/net/ipv4/icmp_echoreply_rate
设置了向任意主机回应echo请求的比率。
/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
设置它之后，可以忽略由网络中的那些声称回应地址是广播地址的主机生成的ICMP错误。
/proc/sys/net/ipv4/icmp_paramprob_rate
一个相对不很明确的ICMP消息，用来回应IP头或TCP头损坏的异常数据包。你可以通过这个文件控制消息的发送比率。
/proc/sys/net/ipv4/icmp_timeexceed_rate
这个在traceroute时导致著名的"Solaris middle star"。这个文件控制发送ICMP Time Exceeded消息的比率。

注，所有的*rate变量的值指的是隔多少个jiffies发生一次，PC上是100jiffies/秒，自己换算一下。

JohnBull

封锁一切ICMP不是个好主意，这是一种极端自私而无知的做法，是对IP协议的不尊重。
正确的思路应该是限制ICMP报文的发送速度。

在Linux上，基本上就是对/proc下的某些内核变量做一个修改而已，你可以参考一下：
（摘自《Linux的高级路由和流量控制HOWTO》）

/proc/sys/net/ipv4/icmp_destunreach_rate
一旦内核认为它无法发包，就会丢弃这个包，并向发包的主机发送ICMP通知。本变量规定了发送通知的比率。
/proc/sys/net/ipv4/icmp_echo_ignore_all
根本不要响应echo包。请不要设置为缺省，它可能在你正被利用成为DoS攻击的跳板时可能有用。
/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts [Useful]
如果你ping子网的子网地址，所有的机器都应该予以回应。这可能成为非常好用的拒绝服务攻击工具。设置为1来忽略这些子网广播消息。
/proc/sys/net/ipv4/icmp_echoreply_rate
设置了向任意主机回应echo请求的比率。
/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
设置它之后，可以忽略由网络中的那些声称回应地址是广播地址的主机生成的ICMP错误。
/proc/sys/net/ipv4/icmp_paramprob_rate
一个相对不很明确的ICMP消息，用来回应IP头或TCP头损坏的异常数据包。你可以通过这个文件控制消息的发送比率。
/proc/sys/net/ipv4/icmp_timeexceed_rate
这个在traceroute时导致著名的"Solaris middle star"。这个文件控制发送ICMP Time Exceeded消息的比率。

注，所有的*rate变量的值指的是隔多少个jiffies发生一次，PC上是100jiffies/秒，自己换算一下。

流氓我一生

谢谢~~

adrianke

我觉的是应该在IANA中定义ICMP的服务类型,只允许有用的ICMP服务存在。

1000g.net

我们是北京的硬件厂商，我们最近要开发防火墙系统，如能兼职帮助开发的朋友请来信，报酬优厚，sunet@xinhuanet.com   或者在QQ谈 76842750   我们就是想搞基于PC架构的那种防火墙，使用unix模块就行，我们打算批量生产！