Como posso bloquear solicitações de ping com o IPTables?

Respostas:

11

Para negar respostas a solicitações de ping .. Adicione a seguinte regra de tabela de ip

iptables -A OUTPUT -p icmp -o eth0 -j ACCEPT          
iptables -A INPUT -p icmp --icmp-type echo-reply -s 0/0 -i eth0 -j ACCEPT     
iptables -A INPUT -p icmp --icmp-type destination-unreachable -s 0/0 -i eth0 -j ACCEPT  
iptables -A INPUT -p icmp --icmp-type time-exceeded -s 0/0 -i eth0 -j ACCEPT       
iptables -A INPUT -p icmp -i eth0 -j DROP
karthick87
fonte
algo está errado com as regras ou eu simplesmente não tenho dependências, mudei o eth0 para wlan0 como estou no meu laptop no momento e recebi o erro "sudo iptables -A INPUT -p icmp -icmp-type destination-inacessível -s 0/0 -i wlan0 -j ACEITAR Argumento –icmp-type'" and "sudo iptables -A INPUT -p icmp -i wlan0-j DROP Bad argument
incorreto
@ david25 veja minha resposta atualizada.
karthick87
8

Eu acredito que iptables -I INPUT -p icmp --icmp-type 8 -j DROPdeveria fazer o truque.

Para o IPv6, você precisaria de algo parecido ip6tables -I INPUT -p icmpv6 --icmp-type 8 -j DROP.

Carsten Thiel
fonte
3

O método mais simples de desativar a resposta do ping é adicionar uma entrada no arquivo /etc/sysctl.conf. Se o Iptables liberar ou parar o servidor, começará a responder novamente às respostas de ping. Sugiro a seguinte entrada no seu arquivo /etc/sysctl.conf

net.ipv4.icmp_echo_ignore_all = 1

isso instruirá o kernel a não responder nenhuma resposta de ping, após executar o sysctl -p no shell para implementar as alterações sem reinicialização.

Para mais informações, consulte: http://www.trickylinux.net/disable-ping-response-linux/

Harish Nischal
fonte
Esta é provavelmente a melhor maneira que encontrei no passado. Tem o lado positivo que é persistente.
Aedazan
0

Soltar solicitações de eco ICMP ("Ping"):

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

O que você quer dizer com furtividade? Você pode simplesmente soltar todos os pacotes recebidos. O Google forneceu o seguinte:

iptables -A INPUT -p tcp -m stealth -j REJECT

Mas na (minha) caixa do Ubuntu, o iptables não conhece uma correspondência "furtiva". Como parece, você pode fazer muitas coisas interessantes com o xtables:

aptitude show xtables-addons-common
Frank
fonte