信頼できないインターフェイスからのIPv4 ICMPをブロックする必要がありますか？

周りを検索しても、ファイアウォールでのICMPのベストプラクティスを特定できませんでした。

たとえば、Cisco ASAでは、ICMPインスペクションが有効になっている場合、すべてのICMPを許可することが安全であり、推奨されます。これにより、タイプ3の到達不能のようなものがクライアントに戻されるようになります。

いいえ、ICMPをブロックしないでください。これは重要なシグナリングプロトコルです。インターネットはそれなしでは機能しません。

ICMPをドロップすると、PMTUDは壊れます。

L3からL2へのアドレス解決（IPV4のARP）はIPv6のICMPの上に乗っているため、IPv6はICMPなしでも機能し始めません。

また、ICMPエコーがドロップされると、トラブルシューティングに時間がかかります。悲しいかな、FWの人々の一連の思考は、「疑わしいときは落とす」ように見えます。

FWを使用するのは、内部ネットワークに認証を必要としないサービスまたは脆弱なソフトウェアを実行する管理されていないホストがあるためです。ICMPは実際には実用的な攻撃ベクトルではありません。