Come il firewall Cisco IOS gestisce il traffico ICMP

Il firewall Cisco IOS (CBAC/Zone-Based) tratta ICMP come un cittadino di prima classe. Per impostazione predefinita, tutto il traffico ICMP è consentito, ma è disponibile un controllo granulare.

Tipi ICMP comuni e scopo

• Tipo 0/8 – Eco Risposta/Richiesta (ping)
• Tipo 3 – Destinazione non raggiungibile (host, porta, rete, frammentazione necessaria)
• Tipo 11 – Tempo scaduto (scadenza TTL, traceroute)
• Tipo 12 – Problema parametro (intestazione errata)

Esempi di configurazione (Zone-Based Policy Firewall)

! Consenti solo eco-risposta (risposte ping) da inside a outside
class-map type inspect match-any ICMP_ALLOW
 match protocol icmp
policy-map type inspect PMAP
 class type inspect ICMP_ALLOW
  inspect
! ulteriori restrizioni con ACL se necessario
zone-pair security ZP_IN_OUT source INSIDE destination OUTSIDE
 service-policy type inspect PMAP

! Blocca eco-richiesta (ping) in entrata da outside
ip access-list extended BLOCK_PING_IN
 deny icmp any any echo-request
 permit ip any any

Registrazione

logging enable
logging icmp 6 ! registra ICMP a livello informativo

Best practice: consenti ICMP essenziale (non raggiungibile, tempo scaduto, problema parametro) per la scoperta MTU del percorso e la risoluzione dei problemi; limita o blocca eco-richiesta se l'esposizione è un problema.