ICMP ออกอากาศดีอย่างไร

12

ในการกำหนดค่า Linux ให้ละเว้นการออกอากาศ ICMP (เพื่อป้องกันการโจมตีจาก SMURF) ฉันได้เพิ่มบรรทัดต่อไปนี้ลงใน/etc/sysctl.conf:

net.ipv4.icmp_echo_ignore_broadcasts = 1

ใครรู้ว่าสิ่งที่เป็นข้อเสียของการละเว้นการออกอากาศ ICMP? กล่าวอีกนัยหนึ่งว่าการออกอากาศ ICMP นั้นดีอย่างไร

— brahima
แหล่งที่มา

หากคุณกำลังพูดโดยเฉพาะเกี่ยวกับการออกอากาศ ICMP การปิดเครื่องควรเป็นปกติ อาจมีข้อยกเว้นเพียงอย่างเดียวหากกล่องของคุณเป็นเราเตอร์ด้วย RFC ส่วนใหญ่ (ทั้งหมดหรือไม่) แนะนำว่าส่วนใหญ่ (ทั้งหมดหรือไม่) การรับส่งสัญญาณออกอากาศ ICMP จะถูกยกเลิกอย่างเงียบ ๆ

— dbasnett

12

sysctlตัวเลือกที่คุณอ้างอิงnet.ipv4.icmp_echo_ignore_broadcastsเท่านั้นเกี่ยวข้องกับ IPv4 ICMP ก้องออกอากาศ ข้อความ ICMP echoเป็นข้อความที่ใช้โดยเครื่องมือบรรทัดคำสั่ง "ping" ด้วยการเพิกเฉยต่อคำขอICMP echoเครื่องของคุณจะไม่ตอบสนองเมื่อมีคนพยายาม ping ที่อยู่ออกอากาศ (เช่น 255.255.255.255 หรือพูด 192.168.1.255 บนเครือข่ายย่อย 192.168.1.0/24) เพื่อค้นหาโฮสต์ทั้งหมดใน เครือข่ายหรือเครือข่ายย่อยในเวลาเดียวกัน

ตัวเลือก sysctl นี้ไม่ควรมีผลกระทบใด ๆ ต่อความสามารถในการตอบสนองต่อการส่งคำสั่งแบบ Unicast ส่งโดยตรงไปยังที่อยู่ IP แบบ Unicast ของเครื่องของคุณ นอกจากนี้ตัวเลือกนี้มีไว้สำหรับ ICMP echo Broadcasts เท่านั้นดังนั้นจึงไม่ควรมีผลกระทบใด ๆ ต่อการใช้งานอื่น ๆ ของ ICMP นอกเหนือจากเสียงสะท้อน

— Spiff
แหล่งที่มา

1

ICMP echo นั้นรู้จักกันในนาม ping ซึ่งเป็นวิธีที่ง่ายที่สุดในการพิจารณาว่าระบบเครือข่ายตอบสนองหรือไม่

การเพิกเฉยต่อการออกอากาศ ICMP ระบบของคุณจะไม่ตอบสนองต่อคำขอ ping และในทันทีที่ปรากฏตัวครั้งแรกจะปรากฏหรือไม่สามารถใช้ได้กับทุกคนที่ไม่ทราบเป็นอย่างอื่น

เป็นวิธีหนึ่งในการซ่อนระบบของคุณ แต่ขั้นตอนตรรกะถัดไปสำหรับผู้บุกรุกที่ระบุจะทำการสแกนพอร์ต

— Ruairi Fullam
แหล่งที่มา

ขอบคุณสำหรับคำอธิบาย มีผลของการบล็อกบรอดคาสต์นอกเหนือจากการเพิกเฉยต่อคำขอ ping หรือไม่

— brahima

ไม่ใช่ที่ฉันรู้ - ปัญหาใด ๆ ที่คุณพบอาจเป็นเพราะซอฟต์แวร์หรืออุปกรณ์ที่ต้องการให้ฟังก์ชันการทำงานนี้ใช้งานได้ โดยส่วนตัวฉันจะไม่ปิดกั้นปิงฉันไม่เคยได้ยินเรื่องการโจมตี smurf มานานแล้ว

— Ruairi Fullam

ขออภัย แต่มันผิดอย่างแน่นอน การเพิกเฉยต่อการออกอากาศไม่ได้เพิกเฉยต่อคำขอ ping คำหลักนั้นออกอากาศ และการเพิกเฉยต่อ ICMP ECHO_REQUEST นั้นน่ารำคาญจริงๆและไม่ใช่การปรับปรุงด้านความปลอดภัย นอกจากความคิดของคุณในเรื่อง 'ความปลอดภัย' กำลังทำลายโพรโทคอลทั้งหมดสำหรับการรายงานข้อผิดพลาดเป็นต้นอย่างไรก็ตามความคิดเห็นของคุณถูกต้อง อาจจะใส่คำตอบใหม่? แค่ความคิด ฉันคิดว่าคุณหมายความว่ามันจะไม่สนใจคำสั่ง ping ไปยังที่อยู่ออกอากาศ แต่นั่นไม่ใช่สิ่งที่มันบอก

— Pryftan