Ich will’s kurz machen, vielleicht könnt’ mir ja einer helfen?
BS: Fedora 8 mit Kernel 2.6.24.4-64, KDE 3.5.9-5.fc8. Einfacher Rechner mit Router (Speedport W 701 V) zum Internet. Im Router ist die Filterfunktion eingeschaltet, DHCP ist ein, WLAN ist aus, PPPoE Pass Through ist aus, NAT & Portregeln sind ein, Dynamisches DNS ist aus. Es gibt noch ein Fenster für eigene Regeln, in dem auch verschiedene Ports (TCP u.a.) zur Bearbeitung angeboten werden. ICMP aber ist nirgends zu finden.
PC wird nur zum surfen und für E-Mails (Pop3 usw) benutzt (keine Serverfunktion nötig).
In der grafischen Firewall Konfiguration unter Fedora 8 sind alle Häkchen für vertrauenswürdige Dienste entfernt. Nach Netzwerkcheck auf http://www.heise.de antwortet der Rechner (oder Router) auf ICMP (gelb unterlegt). Ist das ein Problem? Kann man das besser machen? Wer weiss mal was????
Gruß Mats
Hallo Mats,
ich kenne leider weder Fedora noch den Speedport genau. Normalerweise wird der ping vom Router beantwortet. Da ich mal annehme dass nicht alle Protokolle zu dem einen Rechner weitergeleitet sind und somit der interne Rechner von außen auch nicht direkt erreicht werden kann, ist es vermutlich nicht möglich ICMP zu blocken.
Du kannst natürlich mit den iptables ICMP auf dem PC blocken, aber ich befürchte dass dir dass auch nicht mehr Sicherheit bringt.
Ein test schadet aber nicht. Einfach mal ICMP blocken und heise wieder testen lassen.
Da meine letzte Firewall Einrichtung schon etwas länger her ist kann ich dir leider mit der genauen Syntax nicht helfen. Bei mir habe ich auch den Ping nicht komplett geblockt: es gibt Dienste die sind ganz hilfreich, nutzen aber ICMP (Traceroute…), andere wiederum werden für Angriffe genutzt, diese habe ich mit entsprechenden Regeln geschützt.
Da das Thema der Firewall mit iptables sehr umfangreich ist habe ich lange im Internet nach Lösungen gesucht. Eine für alle gültige Lösung gibt es nicht, jeder hat eigene Vorstellungen, was gut ist und was sein muss.
Zu guter letzt: Beim Vigor kann man irgendwo einstellen dass Pings von außen nicht reindürfen. Vielleicht geht das bei deinem Router auch.
Ich wünsche noch viel Spass beim testen.
Gruß
Karsten
Erste Frage. Wozu willst du Ping blocken? ES macht schlicht & ergreifend
keinen Sinn, auch wenn einem dass all diese So’n-Alarms dieser Welt glauben
machen wollen. Was passiert, wenn ICMP-Ping-Pakete geblockt werden? Richtig:
Keine Antwort. Was passiert, wenn der Computer aus ist? Das vorgelagerte
Gateway schickt “ICMP: Destination host unreachable.” Somit weiß ich immer
ob ein Rechner da ist, egal ob du Ping blockst oder nicht.
Darüber hinaus kann niemand aus dem Internet heraus direkt in dein privates
Netz hinter deinem Router eindringen (es sei denn du aktivierst
Port-Forwarding), somit kann auch niemand Ping-Pakete an deinen PC schicken.
Lange Rede kurzer Sinn: Es macht keinen Sinn Ping auf dem Router zu blocken
und dem Hersteller ist hier zu danken, dass er sein Hirn eingeschaltet hat und
dem Benutzer so einen Schwachsinn garnicht erst zur Verfügung stellt.
Hallo Daniel!
Wozu willst du Ping blocken? ES macht schlicht & ergreifend keinen Sinn
Als derart absolute Aussage kann man das nicht stehen lassen. Es gibt sehr wohl einen guten Grund ICMP Echo Requests (“Ping Pakete”) zu blocken: Sicherheit
Denn das Antworten auf Echo Requests stellt einen zusätzlichen Dienst dar, der, wie alle anderen Netzwerkdienste auch, das Risiko mit sich bringt, dass der Code Schwachstellen aufweist. In der Vergangenheit gab es hierbei auch bereits Sicherheitslücken, z.B. den “Ping of Death”.
Gemäß der allgemeinen Empfehlung alle Dienste zu deaktivieren, die nicht zwingend für die Funktionalität des Systems gebraucht werden, sollten also Echo Requests geblockt werden.
Das ist aber nur die eine Seite. Sicherheit allein ist nicht alles. Wie immer gilt es das Risiko gegen den Nutzen abzuwägen. Und in den meisten Fällen empfehle auch ich, wie die Anderen hier, Echo Requests zuzulassen.
Harald
Infos an Dich:
– Ping gehört zu ICMP und welche Typen es gibt kann man Hier erfahren [1].
– Wenn Du es blocken willst kannst Du das mit einer eigenen iptables-Regel machen.
Du kannst die Typen mit iptables einzeln (–icmp-type 0/0) sperren und durchlassen, siehe auch Hier [2] und dort [3].
BSP komplettes ICMP sperren: iptables -A INPUT -s eth1 -p icmp -j DROP
Die Einzelnen Typen kannst Du unter [1] nachlesen.
DROP und REJECT gibt verschiedene Antworten aus, worauf man auch wieder schließen kann, was dort an der FW geschieht, es schiebt auf, aber hält nicht weiter von irgendetwas ab.
Sinn gibt es keinen, denn man kann Dich auch ohne einen Ping scannen.
Sagen wir Du surfst ( gehst aus dem Haus) und blockst ICMP ( ziehst eine Kapuze auf), meinst Du, dann sieht man Dich nicht (trotz Kapuze geht doch jemand aus Deiner Wohnung) ?
In dem Fall muss man doch nur schauen, welche Daten dort fließen, dann weiß man auch wer es ist, oder was er macht ( Hey Matthias Mente sagen ;) ).
Grüsse
Seraphyn
[1] http://de.wikipedia.org/wiki/Internet_Control_Message_Protocol
[2] http://www.64-bit.de/dokumentationen/netzwerk/e/002/DE-IPTABLES-HOWTO.html
[3] http://iptables.org/