Esclarece a intenção das regras de ping em uma configuração Shorewall

Question

Estou configurando o shorewall em um servidor e as coisas estão indo bem até agora. No entanto, há uma coisa que eu estou querendo saber. O arquivo 'rules' tem, entre outras, as seguintes linhas:

#
# Drop Ping from the "bad" net zone.. and prevent your log from being flooded..
#

Ping(DROP)      net             $FW

ACCEPT          $FW             loc             icmp
ACCEPT          $FW             net             icmp

Tanto quanto eu entendo, as duas últimas linhas permitem que o firewall faça ping em máquinas na rede local e na internet. No entanto, parece também que a quarta linha do fundo cai da Internet. Todas as linhas parecem estar relacionadas ao ping. No entanto, o ACCEPT icmp é [...] diferente do Ping (DROP), ou poderia ter sido escrito (eu mudei a 4ª linha da parte inferior) como eu fiz abaixo?

#
# Drop Ping from the "bad" net zone.. and prevent your log from being flooded..
#

DROP            net             $FW             icmp

ACCEPT          $FW             loc             icmp
ACCEPT          $FW             net             icmp

Todas as sugestões são apreciadas!

    

Answer 1

O arquivo /usr/share/shorewall/macro.Ping informa o que você deseja saber.

"Ping (DROP)" invoca a macro Shorewall do Ping. Neste caso, vemos que afeta o ICMP destinado à porta 8 (lembre-se de que o ICMP faz mais do que apenas pingar). Para reescrevê-lo, você teria que adicionar essa porta de destino 8 ao final de sua regra, mas caso contrário, você a terá.

Dê uma olhada em alguns dos outros arquivos macro. * nesse diretório também - a macro de ping é trivial, mas alguns dos outros ficam um pouco mais complicados e, assim, demonstram mais efetivamente a utilidade de macros em Configurações do Shorewall.