Newsgroup: it.comp.sicurezza.varie
Titolo: ICMP/IP tipo 11, che e'?

La mia ignoranza e' enciclopedica, cosi' quando un chattarolo
mi ha consigliato di mettermi un firewall mi sono detto 'bene,
imparo qualcosa di nuovo'. Scaricato il firewall consigliato
(shareware - 15gg di prova) e installato scopro che con una
certa regolarita' infostrada, iunet, alternet e altri mi
sondano con dei cosiddetti ICMP/IP sulla porta 11, e a botte
di tre/quattro alla volta. 
Ammetto? Blocco? Il consiglio dell'helponline e' di bloccare
sempre, diffidare, per poi eventualmente accettare dei servizi
'noti' per mittente e utilizzo. Sara', pero' non ho piu' fatto
un'ora di collegamento di fila...
Che sono questi ICMP/IP sulla porta 11? Dove trovo info su
roba simile? Non mi servono le RFC, mi serve roba che si legge
senza essere 'ngengere nucleare del CERN...

 writes:
MR> La mia ignoranza e' enciclopedica, cosi' quando un chattarolo
MR> mi ha consigliato di mettermi un firewall mi sono detto 'bene,
MR> imparo qualcosa di nuovo'. Scaricato il firewall consigliato
MR> (shareware - 15gg di prova) e installato scopro che con una
MR> certa regolarita' infostrada, iunet, alternet e altri mi
MR> sondano con dei cosiddetti ICMP/IP sulla porta 11, e a botte
MR> di tre/quattro alla volta. 
Scusa, ma dei messaggi ICMP non arrivano su una  porta, dato che i concetti
di porta si applicano solo a UDP e TCP (e, per essere pignoli, non si parla
di  ICMP/IP: ICMP  non e` un  protocollo di  livello  superiore a  IP -- il
livello 4 OSI -- ma lo affianca al livello 3).
Detto questo, presumo che il messaggio ICMP che ti arriva sia di *tipo* 11,
che corrisponde ad un  "Time Excedeed", ossia ad un  valore "0" del TTL (il
"Time-To-Live") del  pacchetto  che ha causato  l'invio  del messaggio.  In
altre  parole  (non  e` facile  essere  semplici  su questi argomenti,  che
richiedono comunque un certo background: ah, un ingegnere nucleare del CERN
probabilmente non  ne sa niente... :-)  :-)), dalla tua macchina sono stati
inviati dei pacchetti con un TTL troppo basso, ed il TTL viene decrementato
di  [almeno]  uno  da ogni  router  che   il pacchetto  attraversa  nel suo
percorso: se il TTL raggiunge il valore 0 prima di giungere a destinazione,
il router che riceve il pacchetto "scaduto" lo  scarta e invia il messaggio
al mittente.
Forse devi controllare le impostazioni di default: magari il TTL di base e`
troppo  basso (molte installazioni   usano direttamente il  valore massimo,
255).
Per inciso, la presenza di un TTL finito e  il suo costante decremento sono
caratteristiche *fondamentali* per  evitare loop infiniti di pacchetti, che
porterebbero in  pochi minuti alla saturazione di  *tutta* la rete. Non per
niente, gli  switch di livello  2  sono costretti ad implementare  Spanning
Tree & Co. per evitare loop.
Saluti,
Luca Polo.
-- 
 / Luca Polo : 
Luca...@gest.unipd.it
 || Dipartimento di Tecnica e        \
|  System & network administrator      || Gestione dei Sistemi Industriali  |
 \ (
http://www.gest.unipd.it/~jake
     || Universita` di Padova -- Italy   /

 senza essere 'ngengere nucleare del CERN...
FISICO nucleare, *non* ingegnere... ;-)
scusa, non ho saputo resistere...
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

mra...@iol.it
 wrote:
 >sondano con dei cosiddetti ICMP/IP sulla porta 11, e a botte
 >di tre/quattro alla volta. 
Ma sei sicuro che si tratti proprio di una porta? ICMP non usa porte.
Probabilmente si tratta di un pacchetto ICMP di tipo 11 (non ho tempo di
controllare a cosa corrisponde, guarda l'RFC).
Un buon candidato puo` essere il pacchetto che segnala che il proprio
pacchetto e` stato scartato perche` la MTU del link e` troppo piccola.
 >Ammetto? Blocco? Il consiglio dell'helponline e' di bloccare
Ammetti. Non bloccare assolutamente ICMP se non sai il perche`, rischi di
impedire (tra l'altro) il funzionamento dell'algoritmo di path MTU discovery.
 >sempre, diffidare, per poi eventualmente accettare dei servizi
 >'noti' per mittente e utilizzo. Sara', pero' non ho piu' fatto
Il consiglio di chi ti scrive e` di non giocare con un firewall se non sai
cosa stai facendo.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

...
