防火牆如可禁止tracert但允許ping

問題描述

FAQ:

使用者想在網絡中禁止tracert，但允許ping。在政策中deny掉了icmp協定，tracert和ping都被禁止了。

告警資訊

無

處理過程

在我們的裝置上：

ping時發出的封包類型為echo，類型碼為8，回應封包的類型為echo-reply，類型碼為0

tracert時，發出的封包類型和ping相同（但ttl值不同）；傳回的icmp封包類型為ttl-exceeded， 類型碼為 Type=11 

可以參考如下acl

acl number 3000

rule 5 permit icmp icmp-type echo

rule 10 permit icmp icmp-type echo-reply

rule 15 deny icmp icmp-type ttl-exceeded

根因

Tracert和ping都是通過icmp協定來實作的，但他們的icmp類型不一樣,可以使用參數icmp-type 進行差別

建議與總結

無END

    本文轉自wangheyu1 51CTO部落格，原文連結：http://blog.51cto.com/wangheyu1/2047486，如需轉載請自行聯系原作者