Auf der Registerkarte Network Protection > Firewall > ICMP können Sie die Einstellungen für das Internet Control Message Protocol (ICMP) konfigurieren. ICMP dient dazu verbindungsrelevante Statusinformationen zwischen Hosts auszutauschen. Darüber hinaus ist es wichtig, um die Erreichbarkeit des Netzwerks zu testen und zur Fehlerbehebung bei Netzwerkproblemen.
Das Erlauben von allem ICMP-Verkehr auf dieser Registerkarte hebt eventuelle ICMP-Einstellungen in der Firewall auf. Wenn Sie ICMP-Verkehr nur für bestimmte Hosts oder Netzwerke erlauben wollen, sollten Sie besser die Registerkarte Firewall > Regeln verwenden.
Allgemeine ICMP-Einstellungen
Die folgenden allgemeinen ICMP-Optionen sind möglich:
- ICMP auf Gateway zulassen: Das Gateway antwortet auf alle ICMP-Pakete.
- ICMP über Gateway zulassen: Bei Auswahl dieser Option werden ICMP-Pakete über das Gateway weitergeleitet, wenn die Pakete aus einem internen Netzwerk stammen, also einem Netzwerk ohne Standardgateway.
- ICMP von externen Netzwerken über Gateway zulassen: Bei Auswahl dieser Option werden ICMP-Pakete über das Gateway weitergeleitet, wenn die Pakete aus einem externen Netzwerk stammen, z.B. dem Internet.
- ICMP-Umleitungen protokollieren: Die ICMP-Umleitungen werden von Routern gegenseitig verschickt, um eine bessere Route zu einem Paketziel zu finden. Router ändern daraufhin ihre Routing-Tabellen und leiten das Paket auf der vermeintlich besseren Route zum gleichen Ziel weiter. Wenn Sie diese Option wählen, werden alle ICMP-Umleitungen im Firewallprotokoll protokolliert.
Hinweis – Wenn diese Option aktiviert ist, gelten die ICMP-Einstellungen für alle ICMP-Pakete, einschließlich Ping und Traceroute – wenn sie über ICMP gesendet werden –, auch wenn die zugehörigen Ping- und Traceroute-Einstellungen deaktiviert sind.
Ping-Einstellungen
Das Programm Ping ist ein Computer-Netzwerk-Tool mit dem man testen kann, ob ein bestimmter Host über ein IP-Netzwerk erreichbar ist. Ping sendet ICMP-Echo-Anfrage-Pakete an den Zielhost und lauscht auf Antworten in Form von ICMP-Echo-Antwort-Paketen. Aus Zeitintervallen und Antworthäufigkeiten schätzt Ping die Dauer des Paketumlaufs und die Paketverlustrate zwischen den Hosts.
Die folgenden Ping-Optionen sind möglich:
- Gateway ist Ping-sichtbar: Das Gateway antwortet auf ICMP-Echo-Antwort-Pakete. Diese Funktion ist standardmäßig eingeschaltet.
- Von Gateway pingen: Der Ping-Befehl kann auf dem Gateway verwendet werden. Diese Funktion ist standardmäßig eingeschaltet.
- Gateway leitet Pings weiter: Das Gateway leitet ICMP-Echo-Anfrage- und Echo-Antwort-Pakete weiter, die aus einem internen Netzwerk stammen, also einem Netzwerk ohne Standardgateway.
Hinweis – Wenn die Funktion aktiviert ist, lassen die Ping-Einstellungen auch Traceroute-ICMP-Pakete zu, selbst wenn die betreffenden Traceroute-Einstellungen deaktiviert sind.
Traceroute-Einstellungen
Das Programm Traceroute ist ein Computer-Netzwerk-Tool zur Bestimmung der Route, die von Paketen in einem IP-Netzwerk genommen werden. Es listet die IP-Adressen der Router auf, über die das versendete Paket transportiert wurde. Sollte der Pfad der Datenpakete kurzfristig nicht bestimmbar sein, wird ein Stern (*) an Stelle der IP-Adresse angezeigt. Nach einer bestimmten Zahl an Fehlversuchen wird die Überprüfung abgebrochen. Der Abbruch einer Überprüfung kann viele Gründe haben, der wahrscheinlichste ist jedoch, dass eine Firewall im Netzwerkpfad Traceroute-Pakete blockiert.
Die folgenden Traceroute-Optionen sind möglich:
- Gateway ist Traceroute-sichtbar: Das Gateway antwortet auf Traceroute-Pakete.
- Gateway leitet Traceroute weiter: Das Gateway leitet Traceroute-Pakete weiter, die aus einem internen Netzwerk stammen, also einem Netzwerk ohne Standardgateway.
Hinweis – Der Bridge-Modus in der UTM verwendet den Paketfilter, um dem Netzwerkverkehr zu erlauben die UTM zu passieren, z.B. Internetnutzung. In diesem Fall funktionieren die Optionen ICMP über Gateway zulassen, Gateway leitet Pings weiter und Gatewayweiterleitungen nicht im Bridge-Modus.
Hinweis – Darüber hinaus werden auch die UDP
-Ports für UNIX-Traceroute-Anwendungen geöffnet.
Hinweis – Wenn die Funktion aktiviert ist, lassen die Traceroute-Einstellungen auch Ping-Pakete zu, selbst wenn die betreffenden Ping-Einstellungen deaktiviert sind.