2015年02月27日

このエントリーをはてなブックマークに追加
ICMPはいつも悩まされます。そしてそのときのトラブルは根が深いのです!

よく、AセグメントBセグメントを作成し、AからBへのセグメント通信はOK。ただしBからAは絶対ダメ。そういうNWを構築することがあります。
たとえばAセグメントはNW管理者とか、企業の重役セグメントだったりとかね。経理だったりとか。

そういうときに、BからAの通信を拒否するときに、ICMPを含めるのか。そういうことは僕はいつも議題に挙げています。個人的にはトラブルシュートがしずらくなるので、結構いやなのです。また、TCPの通信とちがって、通信の開始パケットである new とかが無いので、概念を分けなければなりませんし。

個人的には、ICMPをすべて遮断するのは不便が多いので、一部は許可するのがいいように思っています。
それに拒否する場合は、Path MTU Discoveryブラックホール という問題を引き起こしてしまいます。

参考
Path MTU Discovery 1

echo reply
destination unreachable
echo request

このあたりは許可することが多いです。


stock_value at 12:46│Comments(0)TrackBack(0)技術:2015年 

トラックバックURL

この記事にコメントする

名前:
URL:
  情報を記憶: 評価: 顔