Гейт не пингуется, но маршрутизирует пакеты

Gaishnik

У меня интернет через VPN, прописан маршрут через гейт до VPN сервера. Все работает, но гейт не отвечает на пинги. Такое вообще возможно?

Helga87

попробуй сделать ping microsoft.com

janlynn

но гейт не отвечает на пинги

небось заебали пинговать, вот и прикрыли эхо

Gaishnik

попробуй сделать ping microsoft.com

anon-desktop:~$ ping microsoft.com

PING microsoft.com (207.46.197.32) 56(84) bytes of data.



--- microsoft.com ping statistics ---

12 packets transmitted, 0 received, 100% packet loss, time 11010ms



anon-desktop:~$ ping forumbgz.ru

PING forumbgz.ru (194.88.210.5) 56(84) bytes of data.

64 bytes from 194.88.210.5: icmp_seq=1 ttl=55 time=24.4 ms

64 bytes from 194.88.210.5: icmp_seq=2 ttl=55 time=22.9 ms

64 bytes from 194.88.210.5: icmp_seq=3 ttl=55 time=24.5 ms



--- forumbgz.ru ping statistics ---

3 packets transmitted, 3 received, 0% packet loss, time 2006ms

rtt min/avg/max/mdev = 22.958/23.987/24.567/0.740 ms

А по HTTP microsoft.com отвечает. Как такое может быть?

Bibi

каком кверху

YUAL

Такое вообще возможно?

http://www.linux.org.ru/view-message.jsp?msgid=1300321

kruzer25

А по HTTP microsoft.com отвечает. Как такое может быть?

А некоторые сервера - наоборот, на пинги отвечают, а по HTTP - нет. 127.0.0.1, например. Как такое может быть?

YUAL

а по HTTP - нет. 127.0.0.1, например

у меня отвечает

kruzer25

А я это не шибко умным писал, а топикстартеру.

janlynn

бля, и у меня

hwh2010

небось заебали пинговать

на ответы на пинги тратится много ресурсов?

vitaly-pk56

Ну, если задаться целью, можно запинговать до вполне приличной нагрузки - у нас в фдс народ прикалывался

yroslavasako

Ну, если задаться целью, можно запинговать до вполне приличной нагрузки - у нас в фдс народ прикалывался

а адаптивные фильтры на что?

hwh2010

Ну, если задаться целью, можно запинговать до вполне приличной нагрузки - у нас в фдс народ прикалывался

ФДС, надо думать, 7?
Если задаться целью, то наверное и TCP-запросами зафлудить можно, не?

Sharp

Еще как. http://ru.wikipedia.org/wiki/Ping-%D1%84%D0%BB%D1%83%D0%B4
И даже если не задаваться целью устроить ping-флуд, а просто попинговать что-нить популярное типа microsoft.com или rambler.ru, то таких желающих по всему миру набирается приличное количество и получается почти распределенная атака.
Даже маршрутизаторы, в которых маршрутизация реализуется аппаратными средствами, и которые способны отмаршрутизировать десятки гигабит трафика, даже они icmp отрабатывают программными средствами, и чтобы не было проблем, либо запрещают icmp вообще, либо ограничивают воспринимаемый поток.
Ну еще есть рекомендации по безопасности, согласно которым злоумышленник используя пинг может собрать сведения о топологии сети, поэтому для этого запрещают как ping, так и traceroute.

yroslavasako

Ну еще есть рекомендации по безопасности, согласно которым злоумышленник используя пинг может собрать сведения о топологии сети, поэтому для этого запрещают как ping, так и traceroute.

вот за такие рекомендации нужно язык отрезать. Потому что не только злоумышленник не сможет разобраться в топологии сети, но и честные пользователи. Лучше сразу сеть перерезать, тогда злоумышленник не сможет воспользоваться ею для атаки

AlexV769

Ну еще есть рекомендации по безопасности, согласно которым злоумышленник используя пинг может собрать сведения о топологии сети, поэтому для этого запрещают как ping, так и traceroute.

Это неправильное решение.
Правильное решение

scrub in on $extif minttl 64

kruzer25

Потому что не только злоумышленник не сможет разобраться в топологии сети, но и честные пользователи

А зачем честным пользователям разбираться в топологии сети microsoft.com? Если эти честные пользователи имеют к microsoft.com непосредственное отношение - пинги снаружи им для этого не понадобятся.

Ivan8209

Дело не в топологии, а в MTU.
Когда ты запрещаешь ICMP, ты ломаешь PMTUD, и сеть перестаёт
работать у всех, кому немного не повезло.
---
"Vyroba umelych lidi, slecno, je tovarni tajemstvi."

kruzer25

Учись читать:

поэтому для этого запрещают как ping, так и traceroute.

О запрете ICMP вообще - в этой подветке речи не идёт.

Sharp

А речь и не идет про выкашивание всего icmp. В icmp много чего хорошего: и redirect бывает очень полезен, и don't fragment.

Ivan8209

И как иначе узнать, жива машина или нет?
Посылать запросы на соединение?
---
...Я работаю антинаучным аферистом...

janlynn

arp ?

kruzer25

И как иначе узнать, жива машина или нет?

Какая "машина"?
Если тебя интересует какая-то конкретная из локальной сети или гейт - сделай её пинг с другого компьютера из этой же локальной сети.
А как ты узнаёшь, находясь в другом городе, жив ли твой компьютер, у которого вообще нет внешнего IP? Уж точно не пингами этого компьютера.

serega1604

у тебя arp-запросы доходят до microsoft.com?

janlynn

не, речь про локалки