зачем они это делают?

Тыкают тебя палочкой, чтобы проверить что ты еще на месте?

но почему другие не тыкают, а только тередо?

и к слову, в ipv4 за 10 минут ни одного пинга не прилетело. подозрительно как-то :)

но почему другие не тыкают, а только тередо?

Только им понравился ваш IP.
На вкус и цвет, как говорится...

просто думаю заблочить это дело в iptables на роутере, лишние записи в conntrack создают лишнюю нагрзуку на и без того слабый проц.

а если заблочу, то они обидятся и перестанут со мной общаться по udp/tcp? :) конечно я могу и сам проверить, но вдруг тут есть люди которые уже шарят в этом.

Отключи ICMP, оно тебе не нужно. 90% людей вообще за натом и никогда не ответят, поэтому на ICMP рассчитывают только самые упоротые сервисы. Короче, в данной ситуации точно не нужно. Я хороший человек, поэтому я молча дропаю ICMP пакеты.

просто думаю заблочить это дело в iptables на роутере, лишние записи в conntrack создают лишнюю нагрзуку на и без того слабый проц.

А если проверить нагрузку?
Ведь она может оказаться на уровне ~0,1%.

по поводу упоротых, ты похоже прав, бро. гугление по этому поводу, вывело на особенность работы клиента uTorrent.

осталось только высянить, какие негативные последствия даст блокировка всего этого непотребства. пока в качестве временной меры, загнал в raw таблицу все icmp от 2001:0/32. ночью буду дальше ковырять :)

если бы. при большом pps/conntrack очень сильно грузится проц. лишняя 1000 conntrack на 100мбитах в моем случае +30% cpu.

Скорее всего потому что, без icmp6 ipv6 не работает.

лишняя 1000 conntrack на 100мбитах в моем случае +30% cpu.

Тогда смысл убить этот трафик действительно есть, учитывая, что дефолтный таймаут равен 30 секундам и, судя по логу, таблица наполняется со скоростью 10 хостов в секунду.

но ведь с IPv6 NAT теперь не нужен

но ведь с IPv6 NAT теперь не нужен

Почему не нужен?

Отключи ICMP, оно тебе не нужно. 90% людей вообще за натом и никогда не ответят, поэтому на ICMP рассчитывают только самые упоротые сервисы. Короче, в данной ситуации точно не нужно.

И сломай mtu discovery. Анонимус такой анонимус...

Я хороший человек, поэтому я молча дропаю ICMP пакеты.

Хороший человек - не профессия, тебя в настройку сетей пускать нельзя.

Что такое mtu discovery и зачем оно нужно?
И если это нечто связанное с MTU, то зачем часто это опрашивать, неужели MTU так часто меняется?

Что такое mtu discovery и зачем оно нужно?

Механизм автоподбора оптимального размера mtu для сессии, использует ICMP

И если это нечто связанное с MTU, то зачем часто это опрашивать, неужели MTU так часто меняется?

Пакет на своём пути от твоего компа до сервера может проходить множество разных физических сред и туннелей, с разными MTU. И если посередине есть роутер с отключенным криворуким админом ICMP и далее в каком либо направлении встретится туннель например вместо согласования mtu он начнёт пакеты реджектить или терять. Выглядит как недоступность или непрогруз элементов на сайтах за этим кривым узлом. (Большим посонам чур меня не бить, я предельно упрощённо объясняю).

PS. К топику это всё вообще не относится. Просто анонимус мало того что дал вредный совет, он ещё и абсолютно не в тему. Классический звук в бочку, короче.

и далее в каком либо направлении встретится туннель например вместо согласования mtu

И как часто такое согласование необходимо?

И как часто такое согласование необходимо?

Каждый раз как понадобится. You never know...

тут подробности с картинками

Фкрадцы - ICMP суть необходимый для нормального функционирования интернета протокол. Блокировать его полностью нельзя, это идиотский поступок равный саботажу. Можно ручками фильтровать отдельные ненужные тебе пакеты, типа echo replay, но нужно чётко понимать зачем это делать (IMHO совершенно незачем).

Что-то неубедительно.

Что-то неубедительно.

По ссылке сходи и убедись.

Позорище, ICMP (англ. Internet Control Message Protocol — протокол межсетевых управляющих сообщений[1]) — сетевой протокол, входящий в стек протоколов TCP/IP. В основном ICMP используется для передачи сообщений об ошибках и других исключительных ситуациях, возникших при передаче данных, например, запрашиваемая услуга недоступна, или хост, или маршрутизатор не отвечают. Также на ICMP возлагаются некоторые сервисные функции.

Заблокировав ICMP ты сломаешь TCP/IP, это любому нубу известно.

Как часто это встречается на практике? Я могу сказать что на практике ты просто отваливаешься по таймауту и никто не подумает тебя уведомить о внештатных ситуациях. Обычно оно блокировано.

без пинга ipv6 не работает? серьезно? :)

а так-то я в курсе:

Chain icmpv6_pass (2 references)
num   pkts bytes target     prot opt in     out     source               destination         
1     197K   39M ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 1
2    94402  121M ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 2
3     296K  377M ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 3
4     5564  568K ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 4
5      95M 4946M ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 128
6        0     0 ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 129
7        3   216 ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 134 HL match HL == 255
8      535 38520 ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 135 HL match HL == 255
9     2079  150K ACCEPT     icmpv6    *      *       ::/0                 ::/0                 ipv6-icmptype 136 HL match HL == 255

короче говоря, вся эта фигня спингом ради того чтобы не флудили dht сеть с левых/не задействованных адресов(которых в ипви6 у каждого как грязи). типа сначала пингуем, если отвечает хост, значит общаемся с ним по dht. а почему только teredo - х.з.

Серьёзно, man NDP. То, что в v4 ARP, в v6 icmp6.

PS: icmp — это не только ping.