Newsgroup: it.comp.sicurezza.varie
Titolo: Ping e Traceroute

Buongiorno.
Ieri, cercando di capire se un server fosse su, mi
e' capitato di riuscire a raggiungerlo conun ping, ma non
con un traceroute.
I pacchetti che compongono ping e traceroute non sono
forse gli stessi (ICMP echo qualcosa ... ) ?
Se no, e a questo punto suppongo di no, come e' possibile
configurare un router (o chi per lui) ad accettare gli uni e
rifiutare gli altri?
Grazie, saluti.
A.M.

 ad accettare gli uni e rifiutare gli altri?
il ping usa icmp-echo-request per inviare le domande (ping) ed
icmp-echo-reply per rispondere (pong).
il traceroute usa diversi altri tipi di icmp. time-exceeded, timestamps,
e via dicendo. se il tuo router e' cisco fai un bel :
access-list 193 permit icmp any any ?
e vedrai i diversi tipi di icmp che i router/firewall supportano
normalmente, google ti potra' fornire sia spiegazione in merito ai
diversi icmp-type che la lista completa, nonche' la relativa rfc.
un mayhem e le maledette active directory
--
Without sacrifice, withouth death, we would have nothing. TD

 un mayhem e le maledette active directory
E invece io sono cattivo e bastardo e sul cisco ci scrivo:
access -list 101 deny icmp any any 13
access -list 101 deny icmp any any 17
e crepa a tutto il resto :))
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

 e crepa a tutto il resto :))
non vedo la bastardaggine. e ritengo da quel che scrivi che tu non abbia
la benche minima idea, a questo punto, di come funzionino le access-list
un mayhem che cmq a casa usa, tra le altre cose le CBAC, e quindi non mi
preoccupo di queste cose.
--
Without sacrifice, withouth death, we would have nothing. TD
remove ME to reply -  Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc

 e via dicendo. se il tuo router e' cisco fai un bel :
Premesso che un traceroute si può fare usando qualsiasi protocollo di livello
quattro, visto che usa solo lo strato IP, le attuali implementazioni 'di
serie' usano ICMP echo request (tracert di windows) e UDP (traceroute *nix).
Fabio

e via dicendo. se il tuo router e' cisco fai un bel :
Una cosa curiosa l'ho scoperta qualche settimana fa, utilizzando il
ping -t (mi pare) e traceroute.
le route utilizzate possono essere diverse...  e quindi toccare router
diversi... :)
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 diversi... :)
Mi pare casuale, piu' che altro.
Un whip che ormai usa solo hping2, per tutte queste cosucce.
-- 
E' in votazione it.sociale.globalizzazione
news://it.news.votazioni

 
Load balancing, o semplicemente cambio tabella di routing al volo per la 
presenza di router bacati, malfunzionanti, bruciati, in sostituzione etc. 
etc. :-)) L'esercito americano l'ha inventato apposta l'Internet Protocol!
-- 
Ciao! 
]\/[arco 

 rifiutare gli altri?
Per bloccare i traceroute ICMP (tipicamente windows) devi fermare gli echo con
TTL bassi. Quanto bassi dipende dalla distanza in hop tra il tuo router che
filtra e le macchine che vuoi 'proteggere'.
Per bloccare i traceroute UDP (tipicamente unix) devi bloccare le porte udp
comprese tra 33434 e 33523, eventualmente per i ttl bassi.
Tutto questo impedisce l'utilizzo delle utilità traceroute 'standard' ma basta
usare altri strumenti per poter comunque ottenere lo stesso scopo. Una
soluzione drastica potrebbe essere quella di filtrare tutto il traffico con
ttl basso, cosa che, però, potrebbe andare a filtrare anche traffico non
traceroute (benche in rare occasioni).
Fabio

etc. :-)) L'esercito americano l'ha inventato apposta l'Internet Protocol!
Si, oppure TOS differenti?
In ogni caso, cio' da' l'idea di quanto sofisticata sia la tecnologia
di base che sta "sotto"...
un HappyCactus ammirato


> Si, oppure TOS differenti?
Può succedere anche quando un host viene raggiunto tramite PAT.
Fabio

Mi pare casuale, piu' che altro.
Anche a me pareva casuale.
Ripetuta due volte, due risultati distinti.
BOH! :)
HappyCactus e i TOS?


    <-- 2 scelta
->NON ABUSARE gli "abuse desk", segnala solo lo spam e il vero netabuse<-      

 traceroute (benche in rare occasioni).
te pensa che io credevo che la soluzione piu' semplice fosse avere la
firewall feauture sul router (a casa ora ad esempio) o un firewall che
fa stateful inpect, vietare tutti gli icmp, tanto le risposte a quelli
di risposta rientrano perche' la connessione sta nella state table ;P
chiaramente blocca anche gli udp ;P
un mayhem e l'acqua calda.
--
Without sacrifice, withouth death, we would have nothing. TD
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
 - 
http://m2net.it.eu.org

 chiaramente blocca anche gli udp ;P
Accidenti: una soluzione di fino, eh :) Puoi anche staccare il router
dalla rete e sei in una botte di ferro :P
A parte gli scherzi: ho fornito quella che penso essere una soluzione
per impedire strettamente l'uso di tracert e traceroute. In un ambito
in cui siano implementate policy più restrittive può essere che venga
già compresa anche questa funzione, come nel tuo caso reale (od anche
nel mio).
In ogni caso se al di la del router offri servizi basati su udp o tcp
possono ovviamente essere usate altre utilità per poter fare comunque
un traceroute. Se decidi di togliere anche questa possibilità l'unica
cosa da fare è(IMHO):
-  filtrare i time exceeded in transit in uscita
oppure:
-  filtrare sul TTL in ingresso e accettare l'eventualità che qualche
sfigato che accede da lontano con win 95/3.x o qualche antica release
di HP/UX (?) o VMS (??) non riesca ad accedere ai tuoi servizi.
... ma se sei sotto i 9 hops possono ancora fregarti :P
Fabio

 non dirlo neanche per scherzo, l'esercito americano ha *pagato*, punto.
Minchia, come siamo incazzati! :-) Me la spieghi meglio questa, credevo che 
i protocolli di base siano stati inventati in ambito militare per la 
creazione di arpanet, no?
-- 
Ciao!
]\/[arco

 di base che sta "sotto"...
E se pensiamo che la tecnologia di base e' di PARECCHI anni fa'... le prime 
RFC sono del 1969! :-O
-- 
Ciao!
]\/[arco

 creazione di arpanet, no?
Il  consorzio DARPA, da cui  e` nata  Arpanet, riuniva le istituzioni,
prevalente accademiche, che  ricevettero i  finanziameni dall'esercito
ma   anche  da  altre  branche governative   per sviluppare tecnologie
informatiche.  I militari erano interessati,  per altro da un punto di
vista abbastanza generale dettato dal clima "competitivo" della guerra
fredda , a sviluppare tecnologie utili  in ambito militare.  Le idee e
la tecnologia nacquero  pero`  nelle Universita` e negli   istituti di
ricerca  accademici e  privati  che  ottennero  cosi` i contratti  dal
consorzio darpa.
Il merito di chi gesti` la cosa fu quello di  lasciare carta bianca ad
alcuni ricercatori particolarmente brillanti e  di pagare la bolletta,
ma il contributo dell'esercito alla  creazione di Internet fini`  li`,
le idee,  la  ricerca e  lo   sviluppo tecnologico arrivo`  dal  mondo
accademico e dal R&D di alcune company.


 RFC sono del 1969! :-O
Ma come, l'internette non l'aveva inventata Billy? 8-DDDDDDDDDDDD
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/