Желательно ещё —ctstate NEW

если все в DROP, там уже ничего не будет в est/rel

но тебя как пинговали так и пингуют дальше

и?

???

но тебя как пинговали так и пингуют дальше

Только железка твоя не пытается что-то в ответ отправлять.

Если так придираться к словам, почему вы пишете "пинговать" а не отправлять эхо пакеты по стандарту исмп через встроенную утилиту пинг?

Потому что не все такие умные как ты.? Какой вопрос, такой ответ.

то есть ты не ICMP запретил, а отправку ICMP своим устройствам да?

А как вы еще что то запретите в интернете?

Для чего? вот интересный вопрос. Исходящий трафик экономить?

Ну если нужна комплексная защита от DOS то тогда Вам сюда https://habr.com/ru/company/hosting-cafe/blog/324848/

Ну ответ вопросом на вопрос это моветон

Нет, человек хочешь чтобы у него железо это все везло)) и могло))

за 30-50 баксов.

А пинг закрывают для того чтобы сканировщики диапазонов сетей не натыкались на твой работающий IP и не подвергались дальнейшему анализу.

Ваша защита потом будет так же дропать эти запросы.) Смысл лишней нагрузки? Когда на корню это можно предотвратить сразу.)

А пинг закрывают для того чтобы сканировщики диапазонов сетей не натыкались на твой работающий IP и не подвергались дальнейшему анализу.

в связи с дефицитом адресов наткнутся можно скорее на неработающий чем работающий

если ты ищешь уязвимый сервер нет смысла тратить время на отправку icmp

в связи с дефицитом адресов наткнутся можно скорее на неработающий чем работающий

Ну вот видите, наткнулись на Ваш неработающий и пошли дальше, ведь кругом столько других работает и их можно посканить.

посканить?

ты мамкин хакир что-ли?

А ты суперх хацкер?)) Нука взломай меня.))

Разговор ни о чем.) Хотите решений, платите деньги соотстветсвующие.

Что за люди, все на халяву хотят.)

@Georgy_Garnov нет ты ответь зачем блокировать отправку ICMP своим устройствам?

посканить?

Попрошу без оскорблений!

посканить?

https://www.cloudflare.com/learning/ddos/ping-icmp-flood-ddos-attack/

Когда же Вы уже такие умники переведетесь))

Суть ICMP атаки в том что при включенном ICMP Ваше устройство тратит емкость исходящего канали и собственные ресурсы на обработку входящих запросов и отправку ответов

С выключенным ICMP у Вас не будет забит исходящий канал и железка будет загружена меньше.

а ты не для этого подключался к инетернету чтобы тратить ресурсы канала и оборудования?

Банхаммер пожалуйста)

Все одно да потому)

С выключенным ICMP у Вас не будет забит исходящий канал и железка будет загружена меньше.

он и с включённым не будет забит

а ты не для этого подключался к инетернету чтобы тратить ресурсы канала и оборудования?

Вы задали вопрос по поводу того зачем выключать ICMP я ответил! Попрошу мне не тыкать, я с Вами общаюсь на Вы. Дальнейшая дисскусия по поводу того, кто зачем подключался к интернету чисто риторическая.

@Georgy_Garnov ты не ответил зачем

Я перечислил негативные стороны, а плюсы в чём?

Вот так зайдешь в чат.. а тут бааа.. мамкины нахеры подъехали :)

ой.. то есть хакеры

если кто-то ищет уязвимый сервис то он просто не будет тратить время на псылку icmp, сразу запрашивая сервис

роутер должен роутить, а что не должен роутить - должен фильтровать

Вы задали вопрос по поводу того зачем выключать ICMP я ответил! Попрошу мне не тыкать, я с Вами общаюсь на Вы. Дальнейшая дисскусия по поводу того, кто зачем подключался к интернету чисто риторическая.

это интернет, детка это неформальная группа здесь и в3.14зду послать могут Вдруг включается свет. Поднимается мужик и обиженно заявляет: - И нахера мне сдалась эта групповуха. Два раза отсасал, один раз в жопу трахнули...

icmp это не только ping но и куча протоколов управляюзих интернетом

если кто-то ищет уязвимый сервис то он просто не будет тратить время на псылку icmp, сразу запрашивая сервис

чуть чуть сложнее.. сначала составляется список живых, а потом их сканят. :)

чуть чуть сложнее.. сначала составляется список живых, а потом их сканят. :)

доступных для подключения.

так вот не нужен icmp для проверки живости ))

Если вы идиот и оставляете торчасщие порты на ружу в дефолте)) Вам ничего не поможет))

доступных для подключения.

вопрос в ресурсоемкости, сканить сразу пачку портов накладнее, ну и свякие fw на это реагируют сразу.. а еще и абуз шлют автоматом порой

Если вы идиот и оставляете торчасщие порты на ружу в дефолте)) Вам ничего не поможет))

security by obscurity?

вопрос в ресурсоемкости, сканить сразу пачку портов накладнее, ну и свякие fw на это реагируют сразу.. а еще и абуз шлют автоматом порой

зачем пачку ты же конкретный сервис ищешь

Если вы идиот и оставляете торчасщие порты на ружу в дефолте)) Вам ничего не поможет))

у меня на всех серверах ssh на стандартном порту смотрит в интернет. И никаких проблем не было.

если ты знаешь когоо конкретно ты хочешь взломать.. его ip и предполагаемые сервисы то да.. скан вообще не нужен

у меня на всех серверах ssh на стандартном порту смотрит в интернет. И никаких проблем не было.

до очередной уязвимости в openssh

если не знаешь то icmp тоже не нужен. Если конечно не в его реализации ошибка

От взлома, вас только защитит автоновный бункер, глубоко под землей метров 100 и то не факт))

Ну дос протекшен не только исмп режет, это раз. Во вторых я не хочу, чтобы мой сервер могли трассировать и пинговать штучки провайдерские. Прекрасно видно по статистике фейл2бан:вначале стучатся по ismp, потом уже и скан тисипи портов пошел, а вот и брутфорс сэсэха сразу

так вы хотите фейлбан?))

Так бы сразу и сказали))

Так что прятать в интернете есть что прятать.

Нет

так вы хотите фейлбан?))

а потом.. емае я 2 раза зафейлил с паролем и мене не пускаеть

Просто длинковский дос протекшен не дает статистику, поэтому привожу статистику с аналогичного сервера своего.

ERROR: S client not available

ну вообще реально.. ну купи себе DFL и разрешай запрещай че хочешь.. их для этого и делали, требовать SMB функционал от домашнего роутера??? да и ЦА для этого будет 1-2% от всех

защита от DoS это не блокировка ни разу.

Вот за 12 часов статистика

Да ладно

С вами конечно весело, но шаурма не ждет и горка тоже.))

Прям точно не блокировка?

меня вот не напрягают 30 ssh брутфорсов в минуту.

С вами конечно весело, но шаурма не ждет и горка тоже.))

эй.. а как же мы :) :) мы с тобой

Ща клаудфлер и шторм систем дружно заплакали

меня вот не напрягают 30 ssh брутфорсов в минуту.

вопрос только в производительности твоей железки

меня вот не напрягают 30 ssh брутфорсов в минуту.

Ну раз вас не напрягает, я за вас рад. Но я вроде и данной фичей не у вас интересовался.

вопрос только в производительности твоей железки

ну не на роутере же сервис делать ))

роутер должен роутить

То есть условной циско надо нахер удалить с своих ISR функционал АСЛ раз есть отдельная линей АСА?

роутер должен роутить

отлично же.. найди себе L3 свичик и роути им :) вопросов нет

Добро пожаловать в группу D-Link Russia! Быржан, прочитай правила

А с сохо роутеров длинк надо выкорчевать айпитейблс, раз есть дфл?

То есть условной циско надо нахер удалить с своих ISR функционал АСЛ раз есть отдельная линей АСА?

с козырей зашел :)

суть то вопроса в чём? DoS не лечатся блокировкой

а тут гении блочат icmp чтобы не перегружать исходящий канал

Вы видимо слабо знакомы с вопросом. Дос всегда лечится блокировкой

Разница лишь в том, кто дропнет пакет

Даже слова об этом не было.

а то что icmp скорее входящий перегрузит - это не ивестно

Ты или провайдер или клауд

А нет, точно

Как я мог забыть

суть то вопроса в чём? DoS не лечатся блокировкой

суть ответа в том, что бы экономить ресурсы RAM и CPU роутера, коих в домашенй серии не оч много, потому на мусорный трафик не отвечать не давая повода изучать тебя дальше

Так же как и без бумажки ты какашка