Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 1736 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UTM 9.313 IPv6 Ping through without Permission

guawhitehawk
Hi,

i played around with the ICMP settings (+ ping and traceroute) on the Firewall Tab when i suddenly found out that i can ping my computer behind(!) my UTM via IPv6 even when ICMP is disabled and only Gateway forwards traceroute is enabled (not even any ping is enabled).

i played around a bit and both traceroute6 and ping6 from an external server through my UTM to my OSX device behind the UTM can be tracerouted/pinged if one of the three options "Allow ICMP through gateway" (not the "from external"!!!), "Allow Ping through gateway" or "Allow traceroute through gateway" is enabled. one(!) of those 3 is enough to successfully ping AND traceroute an IPv6 device behind the UTM which SHOULD not work in my opinion.

Does someone have an explanation for that?

My IPv6 is from german KabelDeutschland. I have a DS-Lite access with a Carrier-grade NAT IPv4 and my UTM got a IPv6 and a delegated prefix. the delegated prefix in turn is given to the clients internally via normal prefix delegation with stateless autoconfig.


This thread was automatically locked due to age.
  • 0
    Does someone have an explanation for that?
    This is a user-to-user forum here, so unfortunately no Sophos insight will be forthcoming.  If you have a paid license, I would highly suggest that you open up a case with Sophos Support, so that they can take a look and see why this is happening.  Please post back the results.
  • 0
    I think the naming for allow ping/Tracert through Gateway is a bad naming - ticking either ping OR Tracert will allow both.
    I'm not sure if this was intended to be like that but can be related to the Clients where the Tracert/ping paket is originated.
    Some OSes do not use Tracert packets although Tracert is done - they easily send ping pakets with corresponding TTL.
  • 0
    Thought of something like this too. ill do a wireshark session to find out [;)]