Linux 如何禁止ICMP

可以使用iptables来禁止ICMP。具体操作如下：

1. 使用root账户登录Linux系统；
2. 执行以下命令，创建一个新的iptables规则：

iptables -A INPUT -p icmp -j DROP

该命令将禁止所有的ICMP流量进入系统。

3. 如果需要保存iptables规则，可以使用以下命令：

service iptables save

该命令将把当前的iptables规则保存到配置文件中，下次系统启动时会自动加载这些规则。

相关问题

linux icmp

在Linux操作系统中，ICMP协议的处理函数是在IP协议处理完以后调用的。具体来说，Linux中使用inet_add_protocol将ICMP处理函数相关的数据结构添加到inet_protos数组中，以便处理收到的ICMP报文。此外，ICMP攻击在网络安全中是一个重要的问题。针对ICMP泛洪攻击，可以采取一些防范措施，如限速、合法性检查、丢弃不需要处理的报文和不响应不可达报文等。限速可以通过限制ICMP报文的速率来减轻设备的处理压力。合法性检查和丢弃不需要处理的报文可以防止一些不合法的ICMP报文对设备造成影响。而不响应不可达报文可以保护设备的CPU资源，防止被大量的端口不可达或网络不可达报文攻击。以上措施可以帮助保护设备免受ICMP攻击的影响。<em>1</em><em>2</em><em>3</em>
#### 引用[.reference_title]
- *1* [Linux icmp 学习笔记 之二 icmp数据处理流程](https://blog.csdn.net/weixin_39880666/article/details/116875751)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}} ] [.reference_item]
- *2* *3* [Linux内核网络协议栈之ICMP协议](https://blog.csdn.net/weixin_71478434/article/details/126589363)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}} ] [.reference_item]
[ .reference_list ]

通过修改linux内核参数来禁止icmp不可达报文的生成的方法

要禁止 Linux 内核生成 ICMP 不可达报文，可以通过修改内核参数 `icmp_echo_ignore_all` 或 `icmp_echo_ignore_broadcasts` 来实现。

首先，可以通过以下命令查看当前内核参数的值：

sysctl net.ipv4.icmp_echo_ignore_all
sysctl net.ipv4.icmp_echo_ignore_broadcasts

默认情况下，这两个内核参数的值都是 0，表示内核会根据需要生成 ICMP 不可达报文。

要禁止生成 ICMP 不可达报文，可以将这两个参数的值设置为 1：

sysctl -w net.ipv4.icmp_echo_ignore_all=1
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1

如果要永久生效，可以将这些参数添加到 `/etc/sysctl.conf` 文件中：

net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

需要注意的是，禁止生成 ICMP 不可达报文可能会影响网络故障的排查和诊断。因此，在生产环境中使用时应该谨慎。