linux - 错误 : iptables v1. 4.21:icmp:必须指定选项 "--icmp-type"

Question

我试图用 iptables 保护 Smurf 攻击。与

iptables -A INPUT -p icmp -m icmp --icmp-type address-mask-request -j DROP
iptables -A INPUT -p icmp -m icmp --icmp-type timestamp-request -j DROP
iptables -A INPUT -p icmp -m icmp -m limit --limit 1/second -j ACCEPT

当我运行这个命令时

iptables -A INPUT -p icmp -m icmp -m limit --limit 1/second -j ACCEPT

iptables 显示错误

iptables v1.4.21: icmp: option "--icmp-type" must be specified

问题是什么？

Answer 1

问题是当使用 icmp 模块时，您必须始终使用 --icmp-type 指定一种或多种 icmp 类型。这是因为 ICMP 用于很多合法的事情，比如“需要分段”，阻止它会很糟糕，因为它会导致无法到达的目的地。

通常 smurf 攻击(这是 90 年代的事情)是通过让您的服务器回复大量回显请求来完成的。 Echo 请求是 icmp-type 8 - 所以我建议改为:

iptables -A INPUT -p icmp -m icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT

这将允许每秒 1 个“icmp echo reply”。 (又名“ping 回复”)。我个人将该限制设置为略高于 1/秒，但这应该可行。