🚀 go-pugleaf

Hi, ik ben nog een gedeelte van mijn vraag vergeten te stellen, eentje die wel
vaker gesteld is maar die toch naar mijn mening niet echt goed is behandeld.
Het gaat over mogelijk afweer tegen ICMP attacks, zoals bijv. een pingflood
(ping -f optie). Wat is nu de beste methode om met ipchains dergelijk D.O.S.
aanvallen tegen te gaan, zonder alle ICMP te moeten DENY'en.

<KNIP>

#  0: Echo_Reply
#  3: Dest_Unreachable, Network_Unavailable, Service_Unavailable, etc.
#  4: Source_Quench
#  5: Redirect
#  8: Echo_Request
# 11: Time_Exceeded
# 12: Parameter_Problem

    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 0 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 3 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 4 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 11 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 12 -d $IPADDR  -j ACCEPT


    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 3 -d $ANYWHERE -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 4 -d $ANYWHERE -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 8 -d $ANYWHERE -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 12 -d $ANYWHERE -j ACCEPT

    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 0 -d $DHCP_SERVER -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 11 -d $DHCP_SERVER -j ACCEPT

</KNIP>

Ik neem aan dat de variabelen voor zich spreken. Dit is een voorbeeld om de
noodzakelijke ICMP te accepten. Nu heb ik ooit wel eens een stukje gezien die
ongeveer hetzelfde deed als dit stukje alleen daar een stuk beknopter in was.
eg. zonder gebruik van $IPADDR en $DHCP. (En dus naar mijn idee veiliger met
een dynamisch IP nummer). Ik hoop dat iemand mij (ons?) een antwoord kan geven,
want volgens mij lopen meerdere mensen met deze vraag rond.

Hartelijk dank voor uw aandacht

Sander