Comment bloquer les requêtes ping ICMP vers les systèmes Linux
Certains administrateurs système bloquent souvent les messages ICMP sur leurs serveurs afin de cacher les boîtiers Linux au monde extérieur sur des réseaux rugueux ou pour empêcher une sorte d’inondation d’IP et d’attaques par déni de service.
La méthode la plus simple pour bloquer la commande ping sur les systèmes Linux consiste à ajouter une règle iptables, comme le montre l’exemple ci-dessous. Iptables fait partie du netfilter du noyau Linux et, généralement, est installé par défaut dans la plupart des environnements Linux.
# iptables -A INPUT --proto icmp -j DROP
iptables -L -n -v [List Iptables Rules]
Une autre méthode générale pour bloquer les messages ICMP dans votre système Linux consiste à ajouter la variable de noyau ci-dessous qui supprimera tous les paquets ping.
# echo “1” > /proc/sys/net/ipv4/icmp_echo_ignore_all
Afin de rendre la règle ci-dessus permanente, ajoutez la ligne suivante au fichier /etc/sysctl.conf et, par la suite, appliquez la règle avec la commande sysctl.
# echo “net.ipv4.icmp_echo_ignore_all = 1” >> /etc/sysctl.conf
sysctl -p
Dans les distributions Linux basées sur Debian qui sont livrées avec le pare-feu d’application UFW, vous pouvez bloquer les messages ICMP en ajoutant la règle suivante au fichier /etc/ufw/before.rules, comme illustré dans l’extrait ci-dessous.
-A ufw-before-input -p icmp --icmp-type echo-request -j DROP
Redémarrez le pare-feu UFW pour appliquer la règle, en exécutant les commandes ci-dessous.
# ufw disable && ufw enable
Dans les distributions CentOS ou Red Hat Enterprise Linux qui utilisent l’interface Firewalld pour gérer les règles iptables, ajoutez la règle ci-dessous pour supprimer les messages ping.
# firewall-cmd --zone=public --remove-icmp-block={echo-request,echo-reply,timestamp-reply,timestamp-request} --permanent
firewall-cmd --reload
Afin de tester si les règles de pare-feu ont été appliquées avec succès dans tous les cas décrits ci-dessus, essayez d’envoyer un ping à l’adresse IP de votre machine Linux à partir d’un système distant. Si les messages ICMP sont bloqués sur votre machine Linux, vous devriez recevoir des messages « Demande expirée » ou « Hôte de destination inaccessible » sur la machine distante.