ICMP重定向消息真的不好吗？

Question

由于潜在的MITM攻击，ICMP重定向消息应该被阻止。然而，ICMP重定向消息的最初目的是通知主机更好的路由器(或网关)。

那么，在主机上禁用ICMP重定向消息是否存在速度问题？还是可以忽略不计？

Answer 1

当您在同一个子网中有一个主机或路由器A与另外两个路由器B & C和连接到这两个路由器时，ICMP重定向是最常见的情况。考虑以下网络：

   |__192.168.1.0/24__|
   | |                |
     |
     |   |___192.168.8.0/24__|
     |   | |                 |
     B     C
|____|_____|____|
|       |       |
        A

A将有一个指向B的路由(很可能是默认的)，而B将有一个更具体的路径指向指向C的192.168.8.0/24。

如果没有ICMP重定向，则从A到192.168.8.0/24的所有通信将被路由为A->B->C。

在ICMP重新启用后，B将通知A C是一个更好的下一跳，随后的流量将被路由为A->C。

显然，B是一个额外的跳跃，取决于它是什么样的框，它可能会引入额外的延迟。

禁用ICMP-重定向和重新设计网络以完全避免这种情况将是首选的解决方案，例如：

   |__192.168.1.0/24__|
   | |                |
     |
     |   |___192.168.8.0/24__|
     |   | |                 |
     B-----C
|____|__________|
|       |       |
        A

(或完全删除C并挂起192.168.8.0/24直接离开B)。

Answer 2

ICMP重定向是信任时代的残余--部分原因是网络机器上有管理员，而BYOD是无法想象的。

忽略客户机上的重定向意味着它将继续通过效率较低的网关发送。这将导致该路由器不必要的工作，以及它的接口上不必要的通信量，略微降低了每个使用该网关的人的性能。

它还将增加客户端的延迟，因为每个数据包都需要额外的跳转。

然而，在一般情况下，在现代网络上，这两种“成本”都是微不足道的。

解决该问题的理想方法是在客户端上添加一条使用正确网关的路由。ICMP重定向为它的自动发生提供了一种方式，但可能不应该被信任--但它们仍然是一条线索，表明存在更好的路由，记录它们可以让人考虑做出这样的更改，也许是在与网络管理员协商之后。

重新设计网络可能是错误的。