Bloquer tout le trafic ICMP peut perturber le fonctionnement du réseau. Une politique adaptée distingue les messages nécessaires au transport, les diagnostics autorisés et les communications propres au réseau local.
ICMP ne se limite pas au ping
Les échanges ping aident à vérifier la joignabilité, mais leur absence ne prouve pas qu’un site est arrêté. Une application peut répondre alors que les requêtes d’écho sont filtrées. Inversement, un ping réussi ne confirme pas que le site, le courriel ou la base de données fonctionne correctement.
Les messages de découverte de la taille maximale des paquets ont un autre rôle. En IPv4, « fragmentation nécessaire » peut signaler qu’un paquet est trop grand; en IPv6, « Packet Too Big » participe à cette découverte. Les bloquer peut provoquer des connexions qui commencent normalement puis se figent.
Traiter IPv6 séparément
ICMPv6 intervient aussi dans la découverte des voisins et des routeurs. Les règles dépendent du type de message, de sa portée et de l’emplacement du pare-feu. Les besoins d’un lien local ne justifient pas d’accepter les mêmes messages depuis Internet.
Préparer une modification du pare-feu
- Identifiez les services exposés, les flux nécessaires et les sources de surveillance autorisées.
- Conservez un accès de récupération indépendant de la règle modifiée.
- Appliquez une règle ciblée, puis vérifiez les applications en IPv4 et IPv6 selon votre configuration.
- Contrôlez les journaux et la surveillance après le changement.
Une limitation de débit doit être adaptée au message concerné. Une limite trop stricte peut également gêner le réseau. Pour un service géré par Nuagerie, faites confirmer les règles applicables avant de modifier les accès.
Références : recommandations de filtrage ICMPv6 et découverte de MTU en IPv4.
