Como desabilitar o timestamp ICMP no AIX - não usando o firewall

Question

No AIX 6/7, como podemos desativar essa função? Eu não posso ver nenhum em "homem não".

Instalar o firewall apenas por causa disso não é realmente uma opção.

    

Answer 1

Solicitações e respostas de timestamp do ICMP podem ser bloqueadas usando filtros ip.

Quando os conjuntos de arquivos estiverem instalados, você precisará criar um arquivo de configuração para o ipf

# vi /etc/ipf.conf

adicione o seguinte como conteúdo:

# Block ICMP timestamp requests and replies
block in log proto icmp from any to any icmp-type 13 
block in log proto icmp from any to any icmp-type 14 

Carregue a extensão do kernel do filtro IP

# /usr/lib/methods/cfg_ipf -l

Carregue as regras do filtro IP

# ipf -f /etc/ipf.conf

Confirme se as regras foram carregadas

# ipfstat -i

block in log proto icmp from any to any icmp-type timest

block in log proto icmp from any to any icmp-type timestrep

Inicie o daemon de registro do filtro IP, se desejado

# /usr/sbin/ipmon -s -D

Para carregar a extensão do kernel do filtro IP e as regras na inicialização, você pode criar um script para ser chamado a partir do inittab

# vi /etc/rc.ipf

com o seguinte conteúdo:

#!/bin/ksh
#
# Script to load ip filter kernel extension,
# filter rules, and logging
#

# Load IPFilter into kernel
/usr/lib/methods/cfg_ipf -l

# Load ipmon and log to syslog
/usr/sbin/ipmon -s -D

# Load IP filter rules
/usr/sbin/ipf -Fa -f /etc/ipf.conf

Torne o script executável

# chmod 755 /etc/rc.ipf

Em seguida, adicione uma entrada ao inittab para executar o script no nível de execução 2

# mkitab "rcipf:2:once:/etc/rc.ipf > /dev/console 2>&1 # Load IP Filter"

O ipmon enviará mensagens para o syslog usando o recurso local0. Se você deseja registrar essas mensagens, você pode configurar o syslog para fazer isso.

# vi /etc/syslog.conf

Adicione a seguinte linha como conteúdo:

local0.debug     /var/adm/local0.log

Em seguida, execute os comandos:

# touch /var/adm/local0.log
# refresh -s syslogd

Fonte: link

Além disso, independentemente do que você usa, você deve sempre ter pelo menos o firewall básico configurado.

    

Answer 2

Deve ser capaz de desativar isso usando a rede sintonizável.

no -p -o icmptimestamp=0

Você pode verificar com o que o valor está definido:

no -L icmptimestamp

Deve ser algo como isto

root> no -L icmptimestamp
--------------------------------------------------------------------------------
NAME                      CUR    DEF    BOOT   MIN    MAX    UNIT           TYPE
     DEPENDENCIES
--------------------------------------------------------------------------------
icmptimestamp             0      1      0      0      1      boolean           D
--------------------------------------------------------------------------------

Como esse ajuste é do tipo D, ele é dinâmico e entra em vigor imediatamente. Nenhuma reinicialização é necessária.

Parameter types:
    S = Static: cannot be changed
    D = Dynamic: can be freely changed
    B = Bosboot: can only be changed using bosboot and reboot
    R = Reboot: can only be changed during reboot
    C = Connect: changes are only effective for future socket connections
    M = Mount: changes are only effective for future mountings
    I = Incremental: can only be incremented

Em algumas máquinas, vi o erro que icmptimestamp é inválido

    root> no -L icmptimestamp
no: 1485-110 Invalid tunable name icmptimestamp

Se este for o caso, você pode adicioná-lo a / etc / tunables / nextboot e irá desativá-lo após sua próxima reinicialização

icmptimestamp = "0"