Comment le pare-feu Cisco IOS gère le trafic ICMP

Le pare-feu Cisco IOS (CBAC/Zone-Based) traite l'ICMP comme un citoyen de première classe. Par défaut, tout l'ICMP est autorisé, mais un contrôle granulaire est disponible.

Types ICMP courants et utilité

• Type 0/8 – Echo Reply/Request (ping)
• Type 3 – Destination Unreachable (hôte, port, réseau, fragmentation nécessaire)
• Type 11 – Time Exceeded (expiration TTL, traceroute)
• Type 12 – Parameter Problem (en-tête incorrect)

Exemples de configuration (Zone-Based Policy Firewall)

! Autoriser seulement echo-reply (réponses ping) de inside vers outside
class-map type inspect match-any ICMP_ALLOW
 match protocol icmp
policy-map type inspect PMAP
 class type inspect ICMP_ALLOW
  inspect
 ! restreindre davantage avec ACL si nécessaire
zone-pair security ZP_IN_OUT source INSIDE destination OUTSIDE
 service-policy type inspect PMAP

! Bloquer echo-request (ping) entrant depuis outside
ip access-list extended BLOCK_PING_IN
 deny icmp any any echo-request
 permit ip any any

Journalisation

logging enable
logging icmp 6 ! journaliser ICMP au niveau informational

Bonne pratique : autoriser l'ICMP essentiel (unreachable, time-exceeded, parameter-problem) pour la découverte MTU de chemin et le dépannage ; limiter en débit ou bloquer echo-request si l'exposition est une préoccupation.