很多管理员用 IPSec 策略“防 Ping”，实则是“格杀勿论”过滤所有 ICMP 报文，导致 MTU 路径发现失效、集群心跳中断、监控探测失灵。本文提供三种精准仅阻断 Echo Request(Type 8 Code 0) 的方案。

为什么 IPSec “防 Ping” 不推荐？

IPSec 策略按协议号(ICMP=1)过滤，无法区分 ICMP 类型。ICMP 包含 11 种报文，Echo Request(8/0) 仅是其中一种。过滤全部会导致：

• Destination Unreachable(3/x) 丢失 → PMTU 黑洞，大包传输失败；
• Time Exceeded(11/0) 丢失 → Traceroute 失效、路由环路不可见；
• Parameter Problem(12/0) 丢失 → 协议错误无法通知；
• 集群心跳、负载均衡健康检查、监控探测全挂。

方案一：个人防火墙精准规则（推荐单机/小网）

以 瑞星/火绒/Windows Defender 防火墙 为例：

1. 新建入站规则 → 自定义 → 协议类型：ICMPv4；
2. 点击“自定义” → ICMP 类型：仅勾选 Echo Request (类型 8, 代码 0)；
3. 动作：阻止；配置文件：域/专用/公用全选；命名“Block Ping Echo Request”。

瑞星个人防火墙精准阻断 Echo Request 设置界面

方案二：Windows “路由和远程访问” RRAS 入站过滤（适合网关/服务器）

1. 开启“路由和远程访问”服务，配置为“自定义配置 → LAN 路由”；
2. 展开 IP 路由 → 常规 → 右键外网网卡 → 属性 → “入站筛选器”；
3. 选择“接收所有除符合下列条件以外的数据包” → 新建；
4. 协议：ICMP，ICMP 类型：8，ICMP 代码：0 → 确定。

RRAS 入站筛选器配置：选外网网卡、添加 ICMP Type 8 Code 0 过滤器

方案三：企业级防火墙/下一代防火墙（NGFW）策略

在 NGFW(如 Palo Alto、FortiGate、华为/华三/深信服等)创建规则：

Source: Any / Trust Zone
Destination: Self / Server Zone
Service: icmp-ping (预定义 Echo Request)
Action: Deny
Log: Enable

同理可精准放行 icmp-unreachable、icmp-time-exceeded 等必要类型。

最佳实践建议

• 内网管理段/监控段 放行全部 ICMP，便于运维排障；
• 对外发布段/边界 仅阻断 Echo Request，保留差错报文；
• 配合 速率限制(如 5 pps/源IP) 防 ICMP Flood，而非全阻；
• 定期审计规则有效性，避免“规则僵尸”积压。