Как запретить/закрыть traceroute из локальной сети средствами iptables

20.04.2011 11:12 #153382

Доброго дня!

Есть задача: нужно запретить traceroute/tracert (в том числе и с опцией -i) из локальной сети наружу.
В качестве firewall стоит centos linux.
Закрыл ping из локалки - traceroute все равно работает.
Попытки закрыть порты --sport 32769:65535 --dport 33434:33523 по udp не помогли.
Гугл ответа на вопрос не дает. :(

Может кто-то уже решал подобную задачу?

20.04.2011 11:34 #153386

bars_spb написал:
Доброго дня!

Есть задача: нужно запретить traceroute/tracert (в том числе и с опцией -i) из локальной сети наружу.
В качестве firewall стоит centos linux.
Закрыл ping из локалки - traceroute все равно работает.
Попытки закрыть порты --sport 32769:65535 --dport 33434:33523 по udp не помогли.
Гугл ответа на вопрос не дает. sad

Может кто-то уже решал подобную задачу?

утилита traceroute/tracert выбирает произвольный порт, который не занят какой либо службой, если хотите закрыть, то закройте все, и разрешите необходимое, это единственный выход из вашей ситуации. Вот и все.

20.04.2011 11:52 #153399

i2ks написал:
утилита traceroute/tracert выбирает произвольный порт, который не занят какой либо службой, если хотите закрыть, то закройте все, и разрешите необходимое, это единственный выход из вашей ситуации. Вот и все.

Спасибо за ответ.
Но увы, не помогло. Оставили открытыми для соединения наружу только allow_from_local="22 443 465 587 993 995 mail pop3 pop3s imap3 imaps imap2 time"
и по udp 53 порт.

Tracert работает! Не понятно как эта зараза пролезает!

20.04.2011 11:57 #153401

Еще как вариант это закрыть исходящий UDP и/или входящий icmp echo reply (icmp type 0) , или icmp вообще прикрыть =)

20.04.2011 12:25 #153414

i2ks написал:
Еще как вариант это закрыть исходящий UDP и/или входящий icmp echo reply (icmp type 0) , или icmp вообще прикрыть

Можно, не факт, что поможет. Но увы: перестанет работать VoIP, nagios будет орать, что хосты в down.
Пока тупо запретили запуск tracert на всех компах. У юзеров прав админов нет, ставить что-то тоже не могут. Пока так. Если найду решение, напишу здесь. smile

20.04.2011 13:54 #153452

bars_spb написал:
Можно, не факт, что поможет. Но увы: перестанет работать VoIP, nagios будет орать, что хосты в down.
Пока тупо запретили запуск tracert на всех компах. У юзеров прав админов нет, ставить что-то тоже не могут. Пока так. Если найду решение, напишу здесь.

1) зачем?
2) для запрета необходимо и достаточно запретить http://ru.wikipedia.org/wiki/ICMP
3) почитайте: http://ru.wikipedia.org/wiki/Traceroute
4) не занимайтесь фигнёй (МХО).

20.04.2011 13:56 #153453

bars_spb написал:
перестанет работать VoIP

UDP не запрещайте.

bars_spb написал:
nagios будет орать, что хосты в down.

не понял - почему одно вы решили запретить, а другое - нет? это взаимоисключающие параграфы.

26.04.2011 16:44 #155451

а ping , dig и nslookup тоже будете запрещать?