{"id":30011,"date":"2025-06-11T17:36:09","date_gmt":"2025-06-11T17:36:09","guid":{"rendered":"https:\/\/blog.lacnic.net\/?p=30011"},"modified":"2025-06-11T17:44:09","modified_gmt":"2025-06-11T17:44:09","slug":"icmpv6","status":"publish","type":"post","link":"https:\/\/blog.lacnic.net\/pt-br\/icmpv6\/","title":{"rendered":"Considera\u00e7\u00f5es para a filtragem do protocolo ICMPv6"},"content":{"rendered":"\n

Por Henri Alves de Godoy<\/a> e Ernesto Sanchez<\/a><\/p>\n\n\n\n

Em ocasi\u00e3o do LACNIC 43 que aconteceu em S\u00e3o Paulo, no Distrito Anhembi de 05 a 09 de Maio, Henri Alves de Godoy e Ernesto Sanchez apresentaram o trabalho de pesquisa no F\u00f3rum T\u00e9cnico \u201cConsidera\u00e7\u00f5es para a filtragem do protocolo ICMPv6\u201d<\/a> no qual descrevemos em conjunto o artigo a seguir para aprecia\u00e7\u00e3o para Blog LACNIC<\/p>\n\n\n\n

<\/a>Introdu\u00e7\u00e3o: A evolu\u00e7\u00e3o hist\u00f3rica do ICMP<\/h2>\n\n\n\n

O protocolo ICMP (Internet Control Message Protocol) foi definido na RFC 792 (1981) como um mecanismo essencial para que dispositivos de rede pudessem relatar erros a princ\u00edpio, anunciar problemas de conectividade e permitir diagn\u00f3sticos na rede. Ele nasceu junto com o IPv4 para dar uma apoio durante a transmiss\u00e3o dos pacotes na rede, que trafegam sem garantia de entrega na camada de rede. \u00c9 utilizado, por exemplo, para notificar quando um host na rede est\u00e1 inacess\u00edvel, informar sobre TTL expirado e indicar problemas de fragmenta\u00e7\u00e3o.<\/p>\n\n\n\n

Uma das ferramentas mais utilizadas por todos e de f\u00e1cil uso at\u00e9 para usu\u00e1rios mais leigos \u00e9 o comando ping (Echo Request\/Reply) e traceroute (Time Exceeded) que utilizam diretamente do protocolo ICMP. Utilizamos muito essas ferramentas no nosso dia a dia e \u00e9 indispens\u00e1vel como um teste simples r\u00e1pido de conectividade.<\/p>\n\n\n\n

Com o crescimento da Internet e a possibilidade de navegar na Web, antes exclusivo das Universidades e Centros de Pesquisa, agora com o surgimento dos pequenos provedores regionais de acesso \u00e0 Internet (ISP) em meados da d\u00e9cada de 90, cada usu\u00e1rio recebia um endere\u00e7o IPv4 p\u00fablico nas resid\u00eancias. Os usu\u00e1rios residenciais ainda n\u00e3o conheciam o NAT, e tinham uma conex\u00e3o direta fim-a-fim, sem tradu\u00e7\u00e3o de endere\u00e7os e sem o compartilhamento do mesmo IP por muitos assinantes, como temos hoje.<\/p>\n\n\n\n

Nessa mesma \u00e9poca come\u00e7avam a surgir os ataques de nega\u00e7\u00e3o de servi\u00e7o (Denied of Service) que exploravam os dispositivos conectados nas redes, como por exemplo, os do tipo smurf attack, onde pacotes ICMP Echo Request eram enviados a endere\u00e7os de broadcast. Esse tipo de explora\u00e7\u00e3o ficou conhecido como ataque de amplifica\u00e7\u00e3o, com o objetivo de paralisar uma rede local.<\/p>\n\n\n\n

Outro grande incidente com repercuss\u00e3o hist\u00f3rica foi o Ping da Morte (Ping of Death) que explorava falhas na implementa\u00e7\u00e3o do protocolo IP em diversos sistemas operacionais especialmente o Windows 95, onde o atacante criava um pacote ICMP Echo Request com tamanho maior do que o permitido pelo padr\u00e3o IP (65.535 bytes).<\/p>\n\n\n\n

Ao longo do tempo, criou-se um movimento de que o \u201cping era perigoso\u201d. Nesse contexto, muitos come\u00e7aram a adotar a pr\u00e1tica de bloqueio generalizado do ICMP e por muitos anos foi considerado uma \u201cboa pr\u00e1tica\u201d de seguran\u00e7a.<\/p>\n\n\n\n

Contudo, essa decis\u00e3o foi baseada mais em um p\u00e2nico ou medo do que em an\u00e1lise t\u00e9cnica. Como consequ\u00eancia, se tornou dif\u00edcil distinguir agora entre uma falha de conectividade ou filtragem do tr\u00e1fego ICMP na rede, criando-se assim, redes invis\u00edveis, para dificultar o mapeamento da rede interna, onde o diagn\u00f3stico se tornou ineficiente.<\/p>\n\n\n\n

Muitos scripts de firewalls (iptables, ipchains) e tutoriais come\u00e7aram agora a divulgar a pr\u00e1tica de incluir o bloqueio total do protocolo ICMP, sem explicar as consequ\u00eancias t\u00e9cnicas.A for\u00e7a dessa cultura foi t\u00e3o intensa que ainda hoje, depois de 30 anos, ainda vemos muita gente bloqueando totalmente o ICMP na sua rede, de forma a criar uma falsa sensa\u00e7\u00e3o de seguran\u00e7a.

<\/p>\n\n\n\n

ICMPv6: Mais do que um substituto do ICMP do IPv4<\/strong><\/p>\n\n\n\n

No IPv4, a descoberta de vizinhos em uma rede local era feita por meio do protocolo ARP (Address Resolution Protocol), definido na RFC 826. Este protocolo opera com mensagens broadcast, ou seja, enviadas a todos os dispositivos da rede.<\/p>\n\n\n\n

Ao contr\u00e1rio do que muitos pensam, o IPv6 n\u00e3o \u00e9 apenas uma vers\u00e3o expandida do IPv4. Ele reestrutura muitos dos princ\u00edpios da comunica\u00e7\u00e3o em rede inserindo agora o ICMPv6 que recebeu novas fun\u00e7\u00f5es, mais encorpado e forte, e n\u00e3o mais um substituto do seu antecessor, o ICMP. Algumas fun\u00e7\u00f5es agora compreendem:<\/p>\n\n\n\n