Как я могу заблокировать запросы ping с помощью IPTables?

Ответы:

11

Отказывать в ответах на запросы ping. Добавьте следующее правило iptable

iptables -A OUTPUT -p icmp -o eth0 -j ACCEPT          
iptables -A INPUT -p icmp --icmp-type echo-reply -s 0/0 -i eth0 -j ACCEPT     
iptables -A INPUT -p icmp --icmp-type destination-unreachable -s 0/0 -i eth0 -j ACCEPT  
iptables -A INPUT -p icmp --icmp-type time-exceeded -s 0/0 -i eth0 -j ACCEPT       
iptables -A INPUT -p icmp -i eth0 -j DROP
karthick87
источник
что-то не так с правилами или у меня просто нет зависимостей, я изменил eth0 на wlan0, так как я сейчас на своем ноутбуке, и получил ошибку "sudo iptables -A INPUT -p icmp -icmp-type destination-unreachable -s 0/0 -i wlan0 -j ПРИНЯТЬ Плохой аргумент –icmp-type'" and "sudo iptables -A INPUT -p icmp -i wlan0-j DROP Bad argument DROP '"
david25
@ david25 смотри мой обновленный ответ.
karthick87
8

Я считаю, что iptables -I INPUT -p icmp --icmp-type 8 -j DROPдолжен сделать свое дело.

Для IPv6 вам нужно что-то вроде ip6tables -I INPUT -p icmpv6 --icmp-type 8 -j DROP.

Карстен Тиль
источник
3

Простейший метод отключения ответа ping - добавить запись в файл /etc/sysctl.conf. Если Iptables сбрасывает или останавливает сервер, он снова начинает отвечать на запросы ping. Я предлагаю следующую запись в вашем файле /etc/sysctl.conf

net.ipv4.icmp_echo_ignore_all = 1

это скажет ядру не отвечать ни на один ответ ping, после этого запустите sysctl -p на оболочке, чтобы реализовать изменения без перезагрузки.

Для получения дополнительной информации, пожалуйста, обратитесь: http://www.trickylinux.net/disable-ping-response-linux/

Хариш Нишал
источник
Это, наверное, лучший способ, который я нашел в прошлом. У этого есть положительная сторона, что это настойчиво.
Aedazan
0

Отбросить эхо-запросы ICMP («Ping»):

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

Что вы имеете в виду под стелс? Вы можете просто удалить все входящие пакеты. Google предоставил это:

iptables -A INPUT -p tcp -m stealth -j REJECT

Но на (моем) Ubuntu box, iptables не знает о совпадении "стелс". Кажется, вы можете сделать много интересного с помощью xtables:

aptitude show xtables-addons-common
Фрэнк
источник