Vlákno názorů k článku Svůj server si ohlídám od JV - Jestli spravne chapu 5.3.9, tak je tam napsano...

Jestli spravne chapu 5.3.9, tak je tam napsano ze muzu filtrovat cokoliv. Ostatne, to rfc bylo napsano clovekem z Cisco, a cisco rate-limit/filtering ICMP povoluje, ze by firma porusovala vlastni rfc ? Hmm.. divne.
Ja proste nechapu proc Yenia argumentuje pomoci RFC, ktere se vztahuje na HOST. Ano, naprosto souhlasim s nim souhlasim, ze host _MUSI_ echo server implementovat, avsak uz se nikde nic nerika, ze se to ICMP k nemu musi dostat. Odstatne, mam nekde jistotu ze to me icmp se neztrati nekde na preplnene lice cestou ? Navic, filtrovat icmp jako soucast DDoS filtru mi pride naprosto legalni a legitimni.

JV

No ve standardech ktere jsem cetl ja (rfc, posix) toto ale neplati. Vetisnou je tam dost jasne a presne vysvetlena terminologie, a u vetsiny dokumentu plati ze u vseho co neni specifikovano zalezi na rozhodnuti cloveka co ten standard cte, jak danou vec bude resit. Ovsem znamena to ze se ani nemuze spolehat na to jak danou vec resil nekdo jiny. Samozrejme existuji i dokumenty u kterych plati ze co neni povoleno je zakazano, ale byva to tam dost jasne vyznaceno.

Mno, ono v technických normách nelze uplatňovat pravidlo, co není zakázáno, je povoleno. Tam je to obvykle tak, že co není povoleno, je zakázáno.

V tom pripade je asi neuveritelny zazrak, ze velke servery (treba konkretne Centrum) maji PING povoleny a problemy nemaji. A pritom prave ony jsou nejvic na rane. :-)

To sice ano, ping 127.1 bude fungovat porad - feature JE implmentovana. Je ale nekde v RFC1812 (Requirements for IP Version 4 Routers) napsano ze router MUST forward all ICMP echo requests ? Zvlaste sekce 5.3.9 Packet Filtering and Access Lists nic nerika ze filtrovat ICMP Echo je zakazano.
Nebo je to napsano nekde jinde ? :)
JV

ping

Vas pristup a Vam podobnym mi velice pripomina dodrzovani standardu Micro$ofem. ICMP zpravy jsou totiz dost dulezite pro lokalizovani a informovani o problemech v siti. Neni nic lepsiho, nez kdyz si zakaznik stezuje ze mu nejde net, vy ho opingate a dojdete k zaveru problem v siti. Nez pridete na to, ze ma neco on blbe nainstalovane a este zakazanej ping (mnohdy ani nevi co to je a ze neco, co nainstaloval ICMP zakazalo) tak ztratite hromadu casu, jen proto, ze nekdo nedela neco co ma.

Problem s pingem je podle mne lepsi resit na urovni obsluznych rutin ICMP a ne prostym zakazem ICMP protokolu. Takhle zachvilku kazdej odstrani z TCP/IP neco a budeme ttu mit nekolik desitek siti fungujcich temer vedle sebe. Fakt si nemuzu pomoct, ale silne mi to pripomina praktiky M$ a nekterych dalsich. Dovede si predstavit napriklad lokalizaci problemu spojeni s neakym severem v Internetu a kontaktovani prislusneho provozovatele infrastruktury a tim spolupraci na odstraneni problemu bez ICMP? Ja teda ne, a nechtel bych zazit, kdyby vsichni ISP zakazali ICMP ve svych sitich.

Kdyz uz ICMP vermo moci chcete zakazat a vite co delate (a podle mych zkusenosti to dotycny vetsinou nevi), na jake problemy tim zadelava a pri reseni jakehokoliv problemu tento zasadni zakrok do fungovani site hlasi, tak to jeste snesu, ale to, ze kazdaj SW na ochranu PC zakaze ICMP a clovek jej pouzivajci nevi ani co to je, tak za to bych strilel.

Zkuste si laskave uvedomit ze RFC je v Interneru v podstate ZAKON a ten musite dodrzovat at se vam libi nebo ne.

Stepan Cirkl

S prvním a třetím odstavcem souhlasím, se druhým zásadně ne. Spravuju pár serverů (pravda, nic extrémně velkého nebo extrémně známého) a zatím jsem problémy kvůli pingu nezaznamenal. Naopak už jsem zaznamenal spoustu problémů, které pramení z toho, že správci některých počítačů si zjednodušují život tím, že nedodržují RFC a jiné standardy.

To že mašina odpovdá na ping ještě neříká nic o stavu služeb, tj http serveru či DB pod ním.
Testovat spolehlivost služby HTTP či DB tím že pingám na mašinu na které běží je přinejmenším dosti mimoběžné.
Každý kdo nějaký ten server chvíli provozoval, ví že poněr výpadku servisu - tj. démona či služby a IP konektivity je přinejmenším 5:1.
Bavím se o serveru hostovaném na alespoň slušně vedené síti,
pakliže převládá čas kdy mašina nedostupná po IP, je čas na výměnu komponent serveru či změnu poskytovatele připojení.

Add ping 2 - mít povolen ping se mi zdá dosti o držku, dnes je to poukázka na problémy, to radši takovéto testování oželím. RFC je pěkná věc, ale pro mě jako člověka odpovědného za chod serveru je důležitější minimalizace nebezpečí uspěšného ataku, obzvláště takto provařeného a jednoduchého.Takovéto hrátky s floodem si zkouší snad každý mládežník co se dostane na rychlejší linku.

Čili když testovat dostupnost,pak sonudo, která se chová jako klient - http sonda, db sonda, v nouzi nejvyšší "telnet 80".
Pořídit to můžu jako službu od provozovatele (spíše vetší zakázky), nebo si něgde rozjedu netsainta, nebo ho dám na localhosta a notifikuji přez záložní dialup, nebo GSM modul(SMS).

jo, jenze neco jinyho je teorie a neco jinyho praxe.

treba abys vymenil providera. Nebo kdyz se to bude opakovat obden cely mesic tak pozadoval vraceni poplatku, nahradu skody. Proste abys chranil zajmy svoje a tvych klientu. Nebo je fakt lepsi sedet a kaslat na to co se deje?

no tak ho nezakaze a sleti mu httpd nebo DB :) A je to stejnak jedno.

btw kdyz neco vymonitoruju, k cemu mi to bude? Abych providerovi zavolal a on rekl: "No my uz to resime. Za vterinu to pojede." :) A nic se nebude dit dalsi dva dny :)

RFC 1122 (Requirements for Internet Hosts -- Communication Layers):

Every host MUST implement an ICMP Echo server function that receives Echo Requests and sends corresponding Echo Replies. A host SHOULD also implement an application-layer interface for sending an Echo Request and receiving an Echo Reply, for diagnostic purposes.

Provider nema co zakazovat ICMP echo na svem serveru.

-Yenya

hm, super testovani pingem ... jenze kdyz si nekdo na serveru ping vypne tak ma zakaznik docela smulu .)