Re: [gentoo-user-ru] issue with default route

[atos]

Alex Efros пишет:
> Э... как отфильтровать? Совсем? В смысле, напрочь? А как же без него? Там
> же и полезные сообщения есть... А, кроме того, разве можно сбить default
> route на чужой машине простой посылкой icmp-пакета???
>
>
Отфильтровать - это оставить нужные. :)
Все запрещать - не надо, вредно.
А вот все разрешенные - хорошая дыра в системе.
Подробно - Приложение C. Типы ICMP в Iptables Tutorial.
У меня на домашнем сделано вот как:

$IPT -N icmp-allow
$IPT -F icmp-allow
#(0,8)Разрешаем себе ping, ставим ограничение на ping своей машины.
$IPT -A icmp-allow -p icmp --icmp-type echo-request -m limit --limit 1/s 
--limit-burst 2 -j ACCEPT
$IPT -A icmp-allow -p icmp --icmp-type echo-request -m limit --limit 1/s 
--limit-burst 2 -j ACCEPT
$IPT -A icmp-allow -p icmp --icmp-type echo-request -m limit --limit 1/s 
--limit-burst 2 -j ACCEPT
$IPT -A icmp-allow -p icmp --icmp-type echo-reply -m limit --limit 1/s 
--limit-burst 2 -j ACCEPT
$IPT -A icmp-allow -p icmp --icmp-type echo-reply -m limit --limit 1/s 
--limit-burst 2 -j ACCEPT
$IPT -A icmp-allow -p icmp --icmp-type echo-reply -m limit --limit 1/s 
--limit-burst 2 -j ACCEPT
#(3)Наиболее общий пункт, содержит все отказы (unreachable)
$IPT -A icmp-allow -p icmp --icmp-type 3 -j ACCEPT
#(4)Source quench
$IPT -A icmp-allow -p icmp -m icmp --icmp-type source-quench -j ACCEPT
#(11)
$IPT -A icmp-allow -p icmp --icmp-type 11  -j ACCEPT
#(12)
$IPT -A icmp-allow -p icmp --icmp-type 12  -j ACCEPT
#(13,14)
$IPT -A icmp-allow -m state --state NEW -p icmp --icmp-type 
time-exceeded -j ACCEPT
#Если недопустимая запись или неправильная контрольная сумма
$IPT -A icmp-allow -p icmp -m icmp --icmp-type parameter-problem -j ACCEPT
$IPT -A icmp-allow -p icmp -j LOG --log-prefix "iptables icmp drop "
$IPT -A icmp-allow -p icmp -j DROP

$IPT -A icmp-allow -j RETURN

Попробуйте подумать и в эту сторону...
Просто (имхо) во всех остальных случаях была бы запись в логе от 
источника-kernel.

:)