找回密码
 注册

QQ登录

只需一步,快速开始

搜索
查看: 2397|回复: 7

[其它] 怎样防止 “防外网PING路由,内网可PING” ?

[复制链接]
发表于 2006-12-2 12:22:48 | 显示全部楼层 |阅读模式

马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

您需要 登录 才可以下载或查看,没有账号?注册

×
怎样防止 “防外网PING路由,内网可PING” ?
routeros
发表于 2006-12-2 14:17:10 | 显示全部楼层
/ ip firewall filter                    
add chain=output protocol=icmp action=drop comment="" disabled=no
routeros
回复

使用道具 举报

发表于 2006-12-2 14:25:30 | 显示全部楼层
楼主的意思是:外网不能PING路由器,而内网可以PING路由器?

/ ip firewall filter                    
add chain=input scr-address=!内网IP protocol=icmp action=drop comment="" disabled=no
routeros
回复

使用道具 举报

发表于 2006-12-2 17:04:50 | 显示全部楼层
只要在 IN. Interface 指定外网的接口就行了
routeros
回复

使用道具 举报

发表于 2006-12-2 17:23:12 | 显示全部楼层
原帖由 flfqzrj 于 2006-12-2 17:04 发表
只要在 IN. Interface 指定外网的接口就行了


嗯,不过,万一是内网PPPOE方式,加上N条ADSL呢?呵呵
routeros
回复

使用道具 举报

发表于 2006-12-2 17:52:10 | 显示全部楼层
原帖由 专卖精品 于 2006-12-2 14:25 发表
楼主的意思是:外网不能PING路由器,而内网可以PING路由器?

/ ip firewall filter                    
add chain=input scr-address=!内网IP protocol=icmp action=drop comment="" disabled=no

这是正解
routeros
回复

使用道具 举报

 楼主| 发表于 2006-12-2 21:17:27 | 显示全部楼层

回复 #3 专卖精品 的帖子

按照专卖精品做法,在控制台下显示“no such argument (scr-address)”
routeros
回复

使用道具 举报

发表于 2006-12-2 21:46:21 | 显示全部楼层
原帖由 专卖精品 于 2006-12-2 14:25 发表
楼主的意思是:外网不能PING路由器,而内网可以PING路由器?

/ ip firewall filter                    
add chain=input scr-address=!内网IP protocol=icmp action=drop comment="" disabled=no

这样做其实不安全,应该针对外网接口进行封锁
如果是专线,那应该是 eth0(假如 eth0 是外网)
如果是 ADSL,那应该是 ppp0
应该对特定 interface 的 icmp 协议的 type 8 code 0 进行阻断
因为,如果一个 attacker 伪造一个内网的数据包过来,还是会被系统接收的,而且系统返回 type 0 code 0 的时候直接返回给内网
那么,如果量大的话,等于通过 !内网IP 形成了一个逻辑漏洞,直接攻入内网机器

另外,完全阻断 ICMP 协议也是不对的,因为 icmp 的用途很多,ping 只是其中大概 10% 的功能
routeros
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

QQ|Archiver|手机版|小黑屋|软路由 ( 渝ICP备15001194号-1|渝公网安备 50011602500124号 )

GMT+8, 2024-12-26 01:16 , Processed in 0.070053 second(s), 14 queries , Gzip On, Redis On.

Powered by Discuz! X3.5 Licensed

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表