web-dev-qa-db-ja.com

Ping O'Deathとiptables

Iptablesでpingを停止するために記述できる簡単なルールはありますか?

1
John

最新のオペレーティングシステムのほとんどは、「ping-of-death」攻撃の影響を受けません。 IPCHAINS HOWTOから( http://www.linux.org/docs/ldp/howto/IPCHAINS-HOWTO-5.html ):

5.3 Ping ofDeathのフィルタリング

Linuxボックスは、有名なPing of Deathの影響を受けなくなりました。これには、レシーバーのTCPスタック内のバッファーをオーバーフローさせ、大混乱を引き起こす、違法に大きなICMPパケットの送信が含まれます。

脆弱な可能性のあるボックスを保護している場合は、ICMPフラグメントをブロックするだけで済みます。通常のICMPパケットは断片化を必要とするほど大きくないため、大きなping以外は何も壊しません。一部のシステムでは、特大のICMPパケットの最後のフラグメントのみを使用して破損するという報告を聞いたことがあります。そのため、最初のフラグメントのみをブロックすることはお勧めしません。

次のようなものでicmpフラグメントをドロップできます。

iptables -A FORWARD -p icmp -f -j DROP

しかし、繰り返しになりますが、本当に古い機器を保護しようとしているのでない限り、これはおそらくすべて不要です。

7
larsks