Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall - bloccare icmp

Salve a tutti,
una domanda veloce.. solitamente quando configuro un firewall (iptables 
o PIX) blocco tutti i tipi di icmp in entrata.
Ho letto però ultimamente un articolo che afferma che è sbagliato in 
quanto in alcuni casi dà problemi di ricezione per i pacchetti superiori 
al MTU o MSS consentito dall'interfaccia.
Mi domandavo se qualcuno di voi ha approfondito l'argomento..
Grazie!
bye


Se non ricordo male dovrebbe essere la rfc792, che mi sembra sia anche
tradotta in italiano, cercala con google.
2 Eç
Banana

 o PIX) blocco tutti i tipi di icmp in entrata.
perche'?
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

 
cerco di rendere invisibile il firewall all'esterno, oltre che evitare 
(su un possibile defacement) un incapsulamento di pacchetti all'interno 
dell'icmp...

 pacchetti all'interno dell'icmp...
questo non l'ho capito: che intendi?


 
beh .. di preciso non sò come li chiamano, cmq si tratta di sfruttare un 
protocollo diverso per inserire i propri dati su una connessione client/server 
(un trojan in pratica). Famoso quello sull'http, ma ce ne sono molti altri , 
tra cui i softproject ne hanno fatto uno..ICMP Tunneling mi pare.


grazie, l'ho già scaricato!
bye

 client/server (un trojan in pratica).
quindi affermi che se ti trojanizzassero avrebbero difficolta' a fare i
cavoli loro, ovvero che lo fai per creare un po' di ridondanza.
il fatto e' che se qualcuno arriva a eseguire del codice e' probabile che
possa anche dare una sistematina alle regole del firewall quindi da questo
punto di vista la ridondanza non aggiunge molto alla sicurezza.


 Mi domandavo se qualcuno di voi ha approfondito l'argomento..
Piu' che altro, ho sommamente bestemmiato nei confronti
di tutti coloro che filtrano senza avere la benche' minima
idea di quel che stanno facendo.
whiplash che i fragmentation needed glieli avrebbe mandati
nel topic di un ben noto gruppo della sottogerarchia it.fan

 dell'icmp...
Ah, beh, allora...
[*]
No, non William: Steve. <g>

 cosi' pero' perdi le funzioni talvolta utili dell'icmp.
Non "talvolta utili".
Gente che filtra cosi' complica la vita al prossimo suo, molto
semplicemente.

 Grazie.
(Devo avere dei dump da qualche parte di siffatti capolavori
di networking.)
In sintesi, succede che se il mio router manda un "fragmentation needed"
perche' il server remoto sta allegramente pushando con segment size 
belle pese ed il firewall del server remoto droppa gli icmp di cui 
sopra, il server continuera' a pushare ed il client con MTU, ad esempio,
1200 non ricevera' un bel nulla.

 Capito, non avevo mai considerato questo problema. Grazie.
mtu discovery path blackhole
su google...
accade più spesso di quanto si pensi, soprattutto quando di mezzo c'è
pppoe :-P
uno skull che in una wan, una volta, c'è impazzito...
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The Skull says:
Stop VeriSign. Go to 
http://www.whois.sc/verisign-dns/
* The most stupid thing since Microsoft Network... <g> *

 Grazie.
La "c" in icmp, sta per "control". Se si blocca icmp, si blocca il
"control" dell'Internet Protocol.. e tutti i relativi errori.
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it



direi anche a se stesso.
un mayhem che non pensa solo ai frammenti
-- 
 Everyone is gay, with someone's else ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613