熱點推薦:
您现在的位置: 電腦知識網 >> 操作系統 >> Windows系統管理 >> 正文

在Win2000中如何關閉ICMP(Ping)

2013-11-11 21:46:04  來源: Windows系統管理 

   ICMP的全名是Internet Control and Message Protocal即因特網控制消息/錯誤報文協議這個協議主要是用來進行錯誤信息和控制信息的傳遞例如著名的Ping和Tracert工具都是利用ICMP協議中的ECHO request報文進行的(請求報文ICMP ECHO類型代碼應答報文ICMP ECHOREPLY類型代碼
  
    ICMP協議有一個特點它是無連結的也就是說只要發送端完成ICMP報文的封裝並傳遞給路由器這個報文將會象郵包一樣自己去尋找目的地址這個特點使得ICMP協議非常靈活快捷但是同時也帶來一個致命的缺陷易偽造(郵包上的寄信人地址是可以隨便寫的)任何人都可以偽造一個ICMP報文並發送出去偽造者可以利用SOCK_RAW編程直接改寫報文的ICMP首部和IP首部這樣的報文攜帶的源地址是偽造的在目的端根本無法追查(攻擊者不怕被抓那還不有恃無恐?)根據這個原理外面出現了不少基於ICMP的攻擊軟件有通過網絡架構缺陷制造ICMP風暴的有使用非常大的報文堵塞網絡的有利用ICMP碎片攻擊消耗服務器CPU的甚至如果將ICMP協議用來進行通訊可以制作出不需要任何TCP/UDP端口的木馬(參見相關文章)既然ICMP協議這麼危險我們為什麼不關掉它呢?
  
    我們都知道Win在網絡屬性中自帶了一個TCP/IP過濾器我們來看看能不能通過這裡關掉ICMP協議桌面上右擊網上鄰居>屬性>右擊你要配置的網卡>屬性>TCP/IP>高級>選項>TCP/IP過濾這裡有三個過濾器分別為TCP端口UDP端口和IP協議我們先允許TCP/IP過濾然後一個一個來配置先是TCP端口點擊只允許然後在下面加上你需要開的端口一般來說WEB服務器只需要開(www)FTP服務器需要開(FTP Data)(FTP Control)郵件服務器可能需要打開(SMTP)(POP)以此類推接著是UDPUDP協議和ICMP協議一樣是基於無連結的一樣容易偽造所以如果不是必要(例如要從UDP提供DNS服務之類)應該選擇全部不允許避免受到洪水(Flood)或碎片(Fragment)攻擊最右邊的一個編輯框是定義IP協議過濾的我們選擇只允許TCP協議通過添加一個是TCP在IP協議中的代碼IPPROTO_TCP=從道理上來說只允許TCP協議通過時無論UDP還是ICMP都不應該能通過可惜的是這裡的IP協議過濾指的是狹義的IP協議從架構上來說雖然ICMP協議和IGMP協議都是IP協議的附屬協議但是從網絡層結構上ICMP/IGMP協議與IP協議同屬一層所以微軟在這裡的IP協議過濾是不包括ICMP協議的也就是說即使你設置了只允許TCP協議通過ICMP報文仍然可以正常通過所以如果我們要過濾ICMP協議還需要另想辦法
  
    剛剛在我們進行TCP/IP過濾時還有另外一個選項IP安全機制(IP Security)我們過濾ICMP的想法就要著落在它身上
  
    打開本地安全策略選擇IP安全策略在這裡我們可以定義自己的IP安全策略
  
    一個IP安全過濾器由兩個部分組成過濾策略和過濾操作過濾策略決定哪些報文應當引起過濾器的關注過濾操作決定過濾器是允許還是拒絕報文的通過要新建IP安全過濾器必須新建自己的過濾策略和過濾操作右擊本機的IP安全策略選擇管理IP過濾器在IP過濾器管理列表中建立一個新的過濾規則ICMP_ANY_IN源地址選任意IP目標地址選本機協議類型是ICMP切換到管理過濾器操作增加一個名為Deny的操作操作類型為阻止(Block)這樣我們就有了一個關注所有進入ICMP報文的過濾策略和丟棄所有報文的過濾操作了需要注意的是在地址選項中有一個鏡像選擇如果選中鏡像那麼將會建立一個對稱的過濾策略也就是說當你關注any IP>my IP的時候由於鏡像的作用實際上你也同時關注了my IP>any IP你可以根據自己的需要選擇或者放棄鏡像
  
    再次右擊本機的IP安全策略選擇新建IP過濾策略建立一個名稱為ICMP Filter的過濾器通過增加過濾規則向導我們把剛剛定義的ICMP_ANY_IN過濾策略指定給ICMP Filter然後在操作選框中選擇我們剛剛定義的Deny操作退出向導窗口右擊ICMP Filter並啟用它現在任何地址進入的ICMP報文都會被丟棄了
  
    雖然用IP sec能夠對ICMP報文進行過濾不過操作起來太麻煩而且如果你只需要過濾特定的ICMP報文還要保留一些常用報文(如主機不可達網絡不可達等)IP sec策略就力不從心了我們可以利用Win的另一個強大工具路由與遠程訪問控制(Routing & Remote Access)來完成這些復雜的過濾操作
  
  
    路由與遠程訪問控制是Win用來管理路由表配置VPN控制遠程訪問進行IP報文過濾的工具默認情況下並沒有安裝所以首先你需要啟用它打開管理工具>路由與遠程訪問右擊服務器(如果沒有則需要添加本機)選擇配置並啟用路由及遠程訪問這時配置向導會讓你選擇是什麼樣的服務器一般來說如果你不需要配置VPN服務器那麼選擇手動配置就可以了配置完成後主機下將出現一個IP路由的選項常規中選擇你想配置的網卡(如果你有多塊網卡你可以選擇關閉某一塊的ICMP)在網卡屬性中點擊輸入篩選器添加一條過濾策略from:ANY to:ANY 協議:ICMP 類型: :編碼: 丟棄就可以了(類型編碼就是Ping使用的ICMP_ECHO報文如果要過濾所有的ICMP報文只需要將類型和編碼都設置為

From:http://tw.wingwit.com/Article/os/xtgl/201311/9178.html
    推薦文章
    Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.