Como o Cisco IOS Firewall Trata Tráfego ICMP

O Cisco IOS Firewall (CBAC/Zone-Based) trata ICMP como cidadão de primeira classe. Por defeito, todo ICMP é permitido, mas controlo granular está disponível.

Tipos ICMP Comuns e Propósito

Tipo 0/8 – Echo Reply/Request (ping)
Tipo 3 – Destination Unreachable (host, porta, rede, fragmentação necessária)
Tipo 11 – Time Exceeded (expiração TTL, traceroute)
Tipo 12 – Parameter Problem (cabeçalho inválido)

Exemplos de Configuração (Zone-Based Policy Firewall)

! Permitir apenas echo-reply (respostas ping) de inside para outside
class-map type inspect match-any ICMP_ALLOW
 match protocol icmp
policy-map type inspect PMAP
 class type inspect ICMP_ALLOW
  inspect
! restringir mais com ACL se necessário
zone-pair security ZP_IN_OUT source INSIDE destination OUTSIDE
 service-policy type inspect PMAP

! Bloquear echo-request (ping) de entrada vindo de outside
ip access-list extended BLOCK_PING_IN
 deny icmp any any echo-request
 permit ip any any

Logging

logging enable
logging icmp 6 ! log ICMP a nível informativo

Boa prática: permitir ICMP essencial (unreachable, time-exceeded, parameter-problem) para path MTU discovery e troubleshooting; rate-limit ou bloquear echo-request se exposição for preocupação.