错误：iptables v1.4.21：icmp：必须指定选项“--icmp-type”

Question

我试图用 iptables 保护 Smurf 攻击。 与

iptables -A INPUT -p icmp -m icmp --icmp-type address-mask-request -j DROP
iptables -A INPUT -p icmp -m icmp --icmp-type timestamp-request -j DROP
iptables -A INPUT -p icmp -m icmp -m limit --limit 1/second -j ACCEPT

当我运行这个命令时

iptables -A INPUT -p icmp -m icmp -m limit --limit 1/second -j ACCEPT

iptables 显示和错误

iptables v1.4.21: icmp: option "--icmp-type" must be specified

有什么问题？

Answer 1

问题在于，在使用 icmp 模块时，您必须始终使用 --icmp-type 指定一种或多种 icmp 类型。 这是因为 ICMP 用于很多合法的事情，比如“需要分段”，这将是不好的阻止，因为它会导致无法到达的目的地。

通常，smurf 攻击（这是 90 年代的事情）是通过让您的服务器回复大量回显请求来完成的。回声请求是 icmp-type 8 - 所以我建议改为：

iptables -A INPUT -p icmp -m icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT

这将允许每秒 1 个“icmp echo reply”。 （又名。“ping 回复”）。我个人会将该限制设置为略高于 1/秒，但这应该可行。