Newsgroup: it.comp.reti.cisco
Titolo: chiusura porta Ping

Salve a tutti,
vorrei chiudere la porta Ping sul mio soho 77, non sono uno esperto, per 
configurare il router sono stato un bel pň.... anche perché con l'inglese 
mastico poco, ....
facendo dei test di sicurezza su symantec, mi risultano chiuse tutte le 
porte tranne il ping, mentre se monto su il modem anziche il router e 
rifaccio il test , le porte sono addirittura tutte nascoste, quindi in 
teoria piů sicure , giusto?
ciao e scusate l'ignoranza ......... 

Brutta notizia: non riuscirai a chiudere la porta "ping", perchè temo
non esista.
Però, che per te è lo stesso, puoi bloccare il protocollo icmp (senza
il quale ho sentito dire ping non può fare molto).
Inserisci questa stupida acl:
access-list 101 deny icmp any any
access-list 101 permit ip any any
poi applicala all'interfaccia interessata (diciamo serial0):
interface ser0
ip access-group 101 in
In questo modo blocchi il ping dall'esterno verso l'interno del tuo
router.
--
Ivo.

 router.
si e' proprio stupida.
questa non blocca solo ping (echo request) ma tutti gli icmp.
purtroppo gli icmp servono quindi bloccarli cosi' a priori potrebbe
causare problemi "strani".
inoltre cosi' non solo impedisci agli altri di pingare te, ma anche a te
di pingare gli altri.
un mayhem che questa e' purtroppo pratica troppo comune
-- 
"And the Germans killed the Jews, And the Jews killed the Arabs,
And the Arabs killed the hostages, And that is the news" RW
http://www.recursiva.org
 - Key on 
pgp.mit.edu
 ID B88FE057

 -- 
Concordo e sottoscrivo sul fatto che bloccare ICMP e anche PING è una cosa 
molto stupida, dato che si tratta di uno strumento di diagnostica.
Inoltre come dice Mahyem si innescano problemi a livello di TCP MSS, ovvero 
in certi casi non si riesce a negoziare il corretto MTU generando strani 
problemi di navigazione.
Saluti
Cuccio 

 altri di pingare te, ma anche a te di pingare gli altri.
Ed è quello che "mi" succede. Eppure ICMP è abilitato! Che altro
potrebbe impedirne il passaggio, su un PIX?
-- 
		Luca Amicone
		ICQ: 14890779
		Microsoft MVP
"Come customizzare/utilizzare un file Autorun.inf" 
http://support.microsoft.com/?id=639009

<preambolo>
ciao mahyem, approfitto per ringraziarti: sono 2 anni che con i tuoi
post mi aiuti involontariamente lungo la strada per ccnp+ccsp.
</preambolo>
L'ho scritto già io che la soluzione è stupida (nel senso di
ingenua), ma... l'avete letto il post di hou, no?
Non credo abbia esigenze superiori al'http, https, pop3, dns. E questi
(lisci) girano anche senza icmp.
Mi trovi d'accordo sul fatto che chi pratica con leggerezza una
soluzione del genere in produzione o è ignorante o è stupido.
--
Ivo

Ivo
Infatti, evidentemente sono molto ignorante in materia... la stupidita' 
credo sia un'altra cosa...
cmq le mie esigenze in effetti sono di http, https, pop3, dns, messenger, 
programmi per lo scambio di file e semplice download...
però a parte tutto, se qualcuno in breve può darmi risposta o spiegazione 
riguardo alla domanda che era:
"facendo dei test di sicurezza su symantec, mi risultano chiuse tutte le
porte tranne il ping, mentre se monto su il modem anziche il router e
rifaccio il test , le porte sono addirittura tutte nascoste, quindi in
teoria più sicure , giusto?"
grazie
cmq stupidi ci si diventa tutti prima o poi ... 

<preambolo>
ciao mahyem, approfitto per ringraziarti: sono 2 anni che con i tuoi
post mi aiuti involontariamente lungo la strada per ccnp+ccsp.
</preambolo>
L'ho scritto già io che la soluzione è stupida (nel senso di
ingenua), ma... l'avete letto il post di hou, no?
Non credo abbia esigenze superiori al'http, https, pop3, dns (telnet ed
ssh, forse?). E questi (lisci) girano anche senza icmp.


 ha scritto nel messaggio 
news:6CtIe.47125$fm.30...@news4.tin.it...

access-list 100 deny udp any any range 33400 34400 log
access-list 100 deny icmp any any echo log
access-list 100 deny icmp any any redirect log
access-list 100 deny icmp any any mask-request log
access-list 100 permit icmp any  a.b.c.d 0.0.0.255
interface x/x
ip access-group 100 in
oltre alle precedenti
access-list 101 permit udp a.b.c.d 0.0.0.255  any range 33400 34400 log
access-list 101 permit icmp a.b.c.d 0.0.0.255 any echo
access-list 101 permit icmp a.b.c.d 0.0.0.255 any parameter-problem
access-list 101 permit icmp a.b.c.d 0.0.0.255 any packet-too-big
access-list 101 permit icmp a.b.c.d 0.0.0.255 any source-quench
access-list 101 deny icmp any any log
interface y/y
ip access-group 101 in
Ciao
Don
------------------------
http://www.ciscoshop.it
 

 (lisci) girano anche senza icmp.
icmp fragmentation needed, questo sconosciuto.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

qualcuno non me l'avrebbe passata, lo sapevo. meglio così.
però a questo punto perchè non aggiungere l'icmp redirect, non si sa
mai che os stà girando?

 ssh, forse?). E questi (lisci) girano anche senza icmp.
no. anche http soffre di strani problemi senza icmp, come ogni altra
applicazione.
un mayhem che palle oggi
-- 
"And the Germans killed the Jews, And the Jews killed the Arabs,
And the Arabs killed the hostages, And that is the news" RW
https://www.recursiva.org
 - Key on 
pgp.mit.edu
 ID B88FE057