ICMP, qué permitir y qué no

ICMP, definido en la RFC 792, no transporta datos de aplicación: lleva mensajes de control y de error entre equipos y routers. Los hay de consulta (la solicitud y la respuesta de eco que usa el comando de conectividad) y de error (destino inalcanzable, tiempo excedido). Los de error son la forma que tiene la red de avisar a un emisor de que su paquete no llegó y por qué. Un cortafuegos con estado suele tratar los errores de una conversación que conoce como «relacionados» con ella, aunque eso se configura y, en esta política ficticia, no está activado.

En IPv6 el papel de ICMP es aún mayor: la RFC 4890 recomienda no descartar, entre otros, destino inalcanzable, paquete demasiado grande, tiempo excedido y problema de parámetro.

Un tipo de ICMP en particular es el que informa de que un paquete no cabe en un enlace y no se puede fragmentar (destino inalcanzable, con el código «fragmentación necesaria»). Se escribe como tipo/código, con el tipo 3 de destino inalcanzable y su código. Lo envía un router intermedio al emisor para que reduzca el tamaño; si el cortafuegos de la empresa lo niega, el emisor nunca se entera y sigue enviando paquetes grandes que se pierden.

Abre la consola y consulta registro_icmp filtrando por accion. Hay un par tipo/código que se repite mucho.

El registro cita la regla que decidió. Para proponer un cambio hay que nombrar la regla exacta y revisar su comentario: una regla de «negar todo» nacida de una auditoría puede ser una buena intención con un efecto lateral.

Consulta politica_icmp y relaciona la regla con el registro.

Contar los mensajes negados del tipo que importa ayuda a dimensionar el efecto: cada mensaje negado corresponde a un paquete que no pasó y a un emisor que no ajustó su tamaño. El hallazgo se escribe con la cifra, el intervalo y la regla, no con adjetivos.

La respuesta no es abrir todo el ICMP. Una política razonable permite los errores que mantienen sanas las conexiones (al menos los relacionados con conversaciones existentes y, hacia los servicios publicados, el de fragmentación necesaria), acepta el eco solo desde las direcciones de monitoreo o con un límite de tasa y lo registra, y mantiene la negación para el resto. La política se cambia con un cambio aprobado y una prueba posterior.