Routery a hostitelé používají zprávy ICMP k hlášení stavů jako nedostupný cíl, expirovaný hop limit nebo paket příliš velký pro danou cestu. ICMP je součástí provozu IP, nikoli obecný transport aplikačních dat.
IPv4 používá ICMP, zatímco IPv6 používá ICMPv6, které rovněž podporuje zásadní funkce IPv6. Zprávy echo request a echo reply stojí za známým testem ping, ale jsou to jen dva typy zpráv. Traceroute běžně vyvolává zprávy time-exceeded odesíláním paketů s postupně většími hodnotami IPv4 time-to-live nebo IPv6 hop-limit.
Klíčové body
Hlášení chybICMP hlásí problém odesílateli; neopravuje nezdařené doručení ani nezaručuje, že každá síťová chyba vygeneruje zprávu.
DiagnostikaPing, traceroute a monitorovací systémy využívají vybrané chování ICMP k testování dosažitelnosti a zkoumání cest, zpoždění a ztrát.
Bezpečné filtrováníPovolte typy zpráv potřebné ke správnému provozu, kde je to možné je validujte v kontextu, rate-limitujte zneužití a omezte nepotřebný provoz, místo plošného blokování.
Důležité omezeníZprávy ICMP samy o sobě nejsou důkazem identity odesílatele ani hlášeného stavu. Lze je podvrhnout, filtrovat, rate-limitovat nebo zneužít, přitom blokování veškerého ICMP může poškodit diagnostiku a funkce jako Path MTU Discovery, zejména v IPv6.