Запрет icmp в iptables на вход извне?

Question

[Nikita]

Доброго дня. Решил поиграться с правилами на сервере, на котором раскатаны различные vpn. Узнал о том, что у меня в iptables политики input и forward были по умолчанию ACCEPT, поизучал немного, погуглил, и решил из перевести в режим DROP по умолчанию. Открыл нужные мне порты, настроил snat, и все вроде ок.

Возник вопрос, как сделать так, чтобы ICMP ходил только внутри сетей сервера (например если сейчас подключится к vpn, пингануть соседнего клиента, пинг пройдет, а если пингануть сам хост, 10.10.0.1, то ничего не будет. И с хоста такая же проблема), а при попытке пингануть его извне, т.е. на eth0 был drop ?

Вот первые правила цепочки input, ниже идут разрешающие правила на порты и все:

spoiler

Chain INPUT (policy DROP 61925 packets, 3664K bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     112M  109G ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
2    48962 8634K ACCEPT     all  --  enp7s0 *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
3     238K  115M ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0

Comments

[ValdikSS]

Блокировка ICMP создаст кучу проблем.
shouldiblockicmp.com

[Nikita]

ValdikSS, Планировал обрезать только эхо запросы/ответы на вход. Если не затруднит, объясните понятным языком, какие последствия этого могут быть.

[ValdikSS]

Nikita, на сайте по ссылке выше есть вся информация

Answer 1

[Максим Гришин]

iptables -A FORWARD -p icmp -j ACCEPT, не?

Comments

[Nikita]

Кажется нет, увеличивается счетчик дропов на инпуте, хотя форвард между сетями разрешен

[Максим Гришин]

Nikita, тогда надо смотреть, во-первых, какие таблицы PBR поднимаются, как вообще, согласно им, должен идти ICMP-пакет с условного 192.168.10.2 на 10.10.1.2, раз уж сам впн-сервер занимается форвардом, как должен идти обратный пакет echo-reply, влезает ли он в VPN корректно, нет ли в каком-то сервисе VPN форварда через lo, условно говоря. Это требует кучи данных. Начните с nft list tables, nft list ruleset, вероятно что-то найдете по поводу управления роутингом пакетов, которые надо отправлять в туннель.