☰

ICMP 速率限制的优缺点

tag-icon • tag-icon debian firewall ping icmp csf
ICMP 速率限制的优缺点

我正在配置配置服务器防火墙，这是 ICMP 的默认配置。我在网上看到，禁用或限制 ICMP 会给你的服务器带来巨大的麻烦。但是我也看到它可以帮助防止某些 DDOS。

您认为我应该限制评级吗？如果是，那么限制到什么程度？

# Allow incoming PING
ICMP_IN = "1"

# Set the per IP address incoming ICMP packet rate
# To disable rate limiting set to "0"
ICMP_IN_RATE = "1/s"

# Allow outgoing PING
ICMP_OUT = "1"

# Set the per IP address outgoing ICMP packet rate (hits per second allowed),
# e.g. "1/s"
# To disable rate limiting set to "0"
ICMP_OUT_RATE = "0"

答案1

是的 -ICMP是一种重要的协议。从 ping 到跟踪路由，再到网络不可达，所有信息都以 ICMP 消息的形式发送。结合某些应用程序在建立连接之前首先尝试“ping”以及该技术的其他不太恰当的实现，您可能会开始发现有大量 ICMP 消息在使用。

我不建议仅将 ICMP 速率限制作为 DDoS 保护措施。有很多其他有效的方法可以对您的系统进行 DDoS 攻击，而无需诉诸 ICMP。同样，如果有人决定淹没您的网络，那么“如何”就不再重要了（即 ICMP、UDP、TCP 半开）。话虽如此，限制 ICMP 速率可能有一些好的理由。如果您决定阻止或限制 ICMP 的速率，那么我建议建立一个基准并从那里进行调整。此外，记录并传达此类变化，因为当事情开始出现问题时，大多数人不会再考虑 ICMP。

相关内容