在深入了解如何解除服務(wù)器禁ping之前，我們先來(lái)理解一下什么是ping，以及服務(wù)器禁止ping到底是怎么回事。
根據(jù)維基百科的定義，ping操作通過(guò)Internet控制消息協(xié)議（ICMP）數(shù)據(jù)包工作，涉及向目標(biāo)主機(jī)發(fā)送ICMP回顯請(qǐng)求并等待ICMP回顯應(yīng)答。
簡(jiǎn)單來(lái)說(shuō)，當(dāng)你在電腦上輸入”ping 域名或IP地址”時(shí)，你的電腦會(huì)向目標(biāo)服務(wù)器發(fā)送一個(gè)叫做ICMP回顯請(qǐng)求的數(shù)據(jù)包。
如果目標(biāo)服務(wù)器正常工作且允許ping，它會(huì)返回一個(gè)ICMP回顯應(yīng)答，告訴你”我在這里，一切正常“。
但是，當(dāng)服務(wù)器禁ping時(shí)，就算你的ping命令發(fā)送成功，服務(wù)器也不會(huì)給你任何回應(yīng)。這時(shí)候你會(huì)看到”請(qǐng)求超時(shí)”或者”目標(biāo)主機(jī)不可達(dá)”這樣的提示信息。
我記得剛開(kāi)始做服務(wù)器運(yùn)維的時(shí)候，經(jīng)常被這個(gè)問(wèn)題困擾。有一次客戶反映說(shuō)服務(wù)器可能掛了，因?yàn)閜ing不通，結(jié)果發(fā)現(xiàn)是服務(wù)器默認(rèn)禁ping了。
服務(wù)器禁ping其實(shí)是一種很常見(jiàn)的網(wǎng)絡(luò)安全配置，就是服務(wù)器的防火墻或者系統(tǒng)設(shè)置阻止了ICMP回顯請(qǐng)求的響應(yīng)。
為什么服務(wù)器會(huì)禁ping？
了解服務(wù)器禁ping的原因，對(duì)我們解決問(wèn)題很有幫助。根據(jù)我的經(jīng)驗(yàn)，服務(wù)器禁ping主要有以下幾個(gè)原因：
安全考慮是最主要的原因
很多服務(wù)器管理員會(huì)主動(dòng)禁ping，這是出于安全考慮。因?yàn)橄胍业骄W(wǎng)絡(luò)中的服務(wù)器，就可以進(jìn)行ping掃描。通過(guò)ping命令，攻擊者可以快速找到網(wǎng)絡(luò)中活躍的服務(wù)器，然后進(jìn)行進(jìn)一步的攻擊。
禁ping就像是給你的服務(wù)器披上了一層隱身衣。即使攻擊者知道你的IP地址，ping命令也不會(huì)告訴他們服務(wù)器是否在線。這在一定程度上增加了攻擊的難度。
正如維基百科所述，ICMP數(shù)據(jù)包的可變大小數(shù)據(jù)部分被利用于拒絕服務(wù)（DDoS）攻擊，這進(jìn)一步說(shuō)明了禁ping對(duì)安全的重要性。
防火墻默認(rèn)設(shè)置
許多Linux發(fā)行版的防火墻默認(rèn)就是禁ping的。比如一些企業(yè)級(jí)的Linux系統(tǒng)，為了保證安全性，出廠時(shí)就配置了嚴(yán)格的防火墻規(guī)則。如果你使用的是這樣的系統(tǒng)，可能會(huì)發(fā)現(xiàn)新裝的服務(wù)器無(wú)法ping通。
網(wǎng)絡(luò)設(shè)備配置
有時(shí)候，服務(wù)器禁ping可能不是服務(wù)器本身的問(wèn)題，而是網(wǎng)絡(luò)設(shè)備的配置。比如路由器、交換機(jī)或者上級(jí)防火墻可能配置了阻止ICMP流量的規(guī)則。
云服務(wù)商的安全組設(shè)置
如果你使用的是云服務(wù)器，比如阿里云、騰訊云等，可能是安全組的設(shè)置導(dǎo)致了服務(wù)器禁ping。云服務(wù)商的安全組功能類(lèi)似于防火墻，可以控制哪些類(lèi)型的流量可以進(jìn)入服務(wù)器。
系統(tǒng)內(nèi)核參數(shù)設(shè)置
Linux系統(tǒng)中有一個(gè)內(nèi)核參數(shù)叫做net.ipv4.icmp_echo_ignore_all，當(dāng)這個(gè)參數(shù)被設(shè)置為1時(shí)，系統(tǒng)就會(huì)忽略所有的ICMP回顯請(qǐng)求，也就是禁ping了。
如何檢查服務(wù)器ping狀態(tài)
在解決服務(wù)器禁ping問(wèn)題之前，我們需要先確認(rèn)問(wèn)題的具體情況。這個(gè)檢查過(guò)程很重要，可以幫助我們準(zhǔn)確定位問(wèn)題所在。
從外部測(cè)試ping
首先，我們需要從另一臺(tái)機(jī)器測(cè)試服務(wù)器的ping狀態(tài)：
ping 你的服務(wù)器IP地址 如果看到”請(qǐng)求超時(shí)”或者沒(méi)有任何響應(yīng)，說(shuō)明服務(wù)器可能禁ping了。正常情況下，你應(yīng)該看到類(lèi)似這樣的響應(yīng)：
PING 192.168.1.100 (192.168.1.100): 56 data bytes 64 bytes from 192.168.1.100: icmp_seq=0 ttl=64 time=1.234 ms 檢查系統(tǒng)內(nèi)核參數(shù)
登錄到服務(wù)器后，可以通過(guò)以下命令檢查系統(tǒng)是否在內(nèi)核層面禁ping：
cat /proc/sys/net/ipv4/icmp_echo_ignore_all 如果返回值是1，說(shuō)明系統(tǒng)禁ping；如果是0，說(shuō)明系統(tǒng)允許ping。
檢查防火墻狀態(tài)
不同的Linux發(fā)行版使用不同的防火墻工具，需要分別檢查。這里我總結(jié)了主流系統(tǒng)的檢查方法，讓你不用擔(dān)心系統(tǒng)版本差異的問(wèn)題。
對(duì)于使用iptables的系統(tǒng)：
iptables -L INPUT | grep icmp 對(duì)于使用firewalld的系統(tǒng)（如CentOS 7+）：
firewall-cmd --list-all 對(duì)于使用ufw的系統(tǒng)（如Ubuntu）：
ufw status 使用命令行解除服務(wù)器禁ping
現(xiàn)在我們來(lái)學(xué)習(xí)如何通過(guò)命令行解除服務(wù)器禁ping設(shè)置。我會(huì)按照從簡(jiǎn)單到復(fù)雜的順序來(lái)介紹。
臨時(shí)開(kāi)啟ping功能
如果你想臨時(shí)開(kāi)啟ping功能，可以使用以下命令：
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all 這個(gè)設(shè)置重啟后會(huì)失效，適合臨時(shí)測(cè)試使用。
永久開(kāi)啟ping功能
要永久開(kāi)啟ping功能，需要修改系統(tǒng)配置文件：
echo 'net.ipv4.icmp_echo_ignore_all = 0' >> /etc/sysctl.conf sysctl -p 配置防火墻允許ping
如果防火墻阻止了ICMP流量，需要添加相應(yīng)的規(guī)則：
對(duì)于iptables：
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT # 保存規(guī)則 iptables-save > /etc/iptables/rules.v4 對(duì)于firewalld：
firewall-cmd --permanent --add-service=ping firewall-cmd --reload 對(duì)于ufw：
ufw allow in "ICMP" 常用面板
寶塔面板、aaPanel、Cyber Panel等，它們都提供了圖形化的防火墻管理功能。使用這些面板的最大好處是不需要考慮系統(tǒng)版本差異，面板會(huì)自動(dòng)處理底層的命令差異。
它們不僅可以管理ping設(shè)置，還能輕松管理網(wǎng)站、數(shù)據(jù)庫(kù)、SSL證書(shū)等各種服務(wù)器功能。
實(shí)踐建議和注意事項(xiàng)
根據(jù)我多年的服務(wù)器管理經(jīng)驗(yàn)，我想給大家一些實(shí)用的建議：
不要盲目開(kāi)啟ping功能
雖然ping功能對(duì)于網(wǎng)絡(luò)診斷很有用，但是否開(kāi)啟需要根據(jù)實(shí)際情況決定。如果你的服務(wù)器面向公網(wǎng)，并且安全要求較高，建議保持禁ping狀態(tài)。
使用白名單機(jī)制
如果你需要特定IP地址能夠ping通服務(wù)器，可以配置白名單規(guī)則，只允許特定IP地址的ICMP請(qǐng)求：
# 只允許特定IP ping iptables -A INPUT -p icmp --icmp-type echo-request -s 192.168.1.100 -j ACCEPT 定期檢查設(shè)置
服務(wù)器的網(wǎng)絡(luò)設(shè)置可能會(huì)因?yàn)橄到y(tǒng)更新、軟件安裝等原因發(fā)生變化，建議定期檢查ping設(shè)置是否符合預(yù)期。
備份配置文件
在修改防火墻規(guī)則或系統(tǒng)配置前，記得備份原有配置文件：
# 備份iptables規(guī)則 iptables-save > /root/iptables_backup.rules # 備份sysctl配置 cp /etc/sysctl.conf /etc/sysctl.conf.backup 監(jiān)控網(wǎng)絡(luò)安全
開(kāi)啟ping功能后，建議加強(qiáng)其他安全措施，比如配置fail2ban、定期更新系統(tǒng)、使用強(qiáng)密碼等。
