許可/ブロックする方法ICMPパケットのエラー報告

1. のTCP SYNパケットが通過したPA Firewall。
2. 次にネクストホップはICMPエラー報告パケット (宛先に到達不能)
3. PA firewall 内部のカプセル化されたパケットをチェックし、セッションの検索を試みます。
4. 以来、TCP SYNパケットはすでにセッションを作成しています。これはICMPエラー パケットはそのセッションに一致します。
5. のICMPエラー報告パケットはセキュリティを使用してブロックできませんPolicyこの場合。 ゾーン保護プロファイルは、以下で説明するように使用する必要があります。
6. この方法では、すべてのICMPエラー報告タイプはブロックされ、タイプを選択することはできません。

1. のTCP SYNパケットは通過しませんでしたfirewallまたはセッションはすでに終了しています。
2. がありますICMP ERRORが受信したパケットPA firewall。
3. 関連するセッションが存在しないため、firewall 、新しいICMPこのためにセッションが作成されますICMPエラー報告パケット。
4. このパケットは、署名とセキュリティを備えたカスタム アプリケーションを使用してブロックできます。Policy 。

「ネットワーク」>「ネットワークプロファイル」>「ゾーン保護」>「追加」><名前>

> show counter global filter packet-filter yes delta yes

Global counters:
Elapsed time since last sampling: 33.725 seconds

name                                   value     rate severity  category  aspect    description
--------------------------------------------------------------------------------

flow_dos_pf_icmperr                        5        0 drop      flow      dos       Packets dropped: Zone protection option 'discard-icmp-error'

admin@PA5260(active-primary)> show session all filter source 10.10.10.2

--------------------------------------------------------------------------------
ID          Application    State   Type Flag  Src[Sport]/Zone/Proto (translated IP[Port])Vsys
                                          Dst[Dport]/Zone (translated IP[Port])
--------------------------------------------------------------------------------
17           ICMP-Error-Code ACTIVE  FLOW       10.10.10.2[3]/untrust/1  (10.10.10.2[3])
vsys1                                          10.3.1.146[1]/trust  (10.3.1.146[1])