Aktuell kann man die standardmäßig erzeugten IP-Adressen eines neu erstellten Netzwerks anpingen. Das passt meiner Meinung nach nicht zum eos-Motto "Secure by Default", weil das Netzwerk so sofort entdeckt werden kann.
Wie wäre es, dafür eine Option zu ergänzen (ggf. pro Adress-Familie), die standarmäßig ausgeschaltet ist?
[eos] Standard-IP-Adressen des Netzwerks sollten nicht per Default auf Echo-Requests antworten
-
terence -
9. August 2026 um 18:40 -
Unerledigt
-
-
Adressen nicht "anpingen" zu können (ICMP zu filtern) ist kein über Security-by-obscurity hinausgehender Security-Gewinn, zerstört aber die Path-MTU-Ermittlung. Bitte daher keine ICMP-Filterung.
-
Natürlich nicht ICMP komplett, sondern nur Echo.
-
Hallo ihr beiden!
Ich sehe das Abschalten von ICMP Echo Requests nicht unbedingt als notwendige Absicherung. Ein Ping zeigt lediglich, dass die IP erreichbar ist, sagt aber nichts darüber aus, welche Dienste oder Ports tatsächlich erreichbar sind.
Für die eigentliche Absicherung gibt es ACLs bzw. Firewall-Regeln, über die sich eingehender Traffic gezielt erlauben oder blockieren lässt. ICMP Echo zu deaktivieren erhöht daher primär die "Unsichtbarkeit", ersetzt aber keine Zugriffskontrolle.
Gerade im Betrieb kann eine standardmäßig "pingbare IP" auch für Monitoring und Fehlersuche hilfreich sein.
Viele Grüße,
Thorsten