การค้นหารอบ ๆ ฉันไม่สามารถระบุวิธีปฏิบัติที่ดีที่สุดสำหรับ ICMP บนไฟร์วอลล์
ตัวอย่างเช่นใน Cisco ASA จะปลอดภัยและแนะนำให้อนุญาตให้ ICMP จากใด ๆ หากเปิดใช้งานการตรวจสอบ ICMP สิ่งนี้จะอนุญาตให้สิ่งต่าง ๆ เช่นประเภทที่ 3 ไม่สามารถเข้าถึงได้เพื่อให้ลูกค้ากลับมาได้
คำตอบ:
ไม่ ICMP ไม่ควรถูกบล็อก มันเป็นโปรโตคอลการส่งสัญญาณที่สำคัญ อินเทอร์เน็ตไม่ทำงานหากไม่มี
PMTUD ใช้งานไม่ได้ถ้าคุณดรอป ICMP
IPv6 ไม่ได้เริ่มทำงานโดยไม่มี ICMP เนื่องจากการแก้ปัญหาที่อยู่ L3 ถึง L2 (ARP ใน IPV4) กำลังขี่อยู่บนสุดของ ICMP ใน IPv6
การแก้ไขปัญหาจะใช้เวลานานขึ้นถ้า ICMP echos หลุด อนิจจาบ่อยครั้งที่คน FW ฝึกความคิดดูเหมือนจะ 'เมื่อมีข้อสงสัยลดลง'
คุณใช้ FW เนื่องจากเครือข่ายภายในของคุณมีบริการที่ไม่ต้องการการตรวจสอบสิทธิ์หรือโฮสต์ที่ไม่มีการจัดการซึ่งใช้ซอฟต์แวร์ที่มีช่องโหว่ ICMP นั้นไม่ใช่เวคเตอร์การโจมตีที่ใช้งานได้จริง