为什么要阻止出站 ICMP？

Question

这个问题与“ Why Block Port 22 Outbound? ”略有相关。我看不出这会是一个显着的安全风险。

Answer 1

在“将所有内容列入黑名单，将需要的内容列入白名单”的上下文中，经常考虑安全性，直到有人抱怨之前限制出站连接的锡纸帽级别。虽然很容易问“为什么阻止”......安全专家会问“你为什么需要”......这就是为什么企业网络非常严格（黑名单优先）与标准家庭网络（白名单所有传出）相比。

网络上的一台机器在僵尸网络上运行，为主机的 ICMP PING 饱和提供带宽是一种现实情况。

Answer 2

阻止来自您环境的ICMP 出站和所有其他连接是构建防火墙/安全策略的良好开端。

但是，您应该事先了解并考虑很多事情。一个很好的例子是，当阻止所有 ICMP 数据包同时允许某些其他协议（例如 tcp 端口 80 (http)）时，可能会导致 MTU/PMTU 出现问题。如果您的网络连接使用诸如pppoe、 GRE或许多其他封装之一，您将遇到大量难以识别的 MTU 问题。

开始阅读的好地方是：

• 路径 MTU 发现和过滤 ICMP
• ICMP 代表麻烦