Mặc định, Windows Firewall with Advanced Security chặn ICMP Echo Requests (Pings) từ mạng. Bài này hướng dẫn cho phép Pings (ICMP Echo requests) qua Windows Firewall dùng Command Prompt hoặc giao diện Windows Firewall with Advanced Security UI.
Có nên bật ICMP không?
Nhiều quản trị mạng coi Internet Control Message Protocol (ICMP) là rủi ro bảo mật, do đó như biện pháp an ninh, nên chặn ICMP tại firewall. Dù ICMP nổi tiếng có vấn đề bảo mật, và chính vì vậy nên chặn; nhưng vẫn không phải lý do chặn toàn bộ lưu lượng ICMP!
Nên cho phép loại ICMP nào?
Ngoại trừ Type 3 và Type 4 – chỉ hai loại ICMP thiết yếu cần cho phép vào/ra firewall trên Windows 10/11, mọi thứ khác là tùy chọn hoặc nên chặn. Lưu ý: để gửi ping request, cần cho phép type 8 OUT và type 0 IN.
Cho phép Pings (ICMP Echo requests) qua Windows Firewall
Cơ chế lệnh ping trong công cụ mạng: gửi gói tin đặc biệt gọi là Internet Control Message Protocol (ICMP) Echo Requests đến thiết bị đích, chờ thiết bị phản hồi gói ICMP Echo Reply. Hành động ping này, ngoài việc kiểm tra thiết bị mạng có hoạt động, còn đo thời gian phản hồi và xuất kết quả.
Chúng ta có thể cho phép Pings qua Firewall trên Windows 10/11 bằng 2 cách. Khám phá dưới các phương pháp sau.
Lưu ý: Nếu bạn cài phần mềm bảo mật thứ ba có firewall riêng hoặc firewall chuyên dụng thứ ba, bạn cần mở cổng trên firewall đó thay vì Windows Firewall tích hợp.
1. Cho phép Pings qua Firewall trên Windows PC via Windows Firewall with Advanced Security UI
- Nhấp Start hoặc nhấn phím Windows.
- Gõ windows firewall, chọn Windows Defender Firewall đầu kết quả.
- Nhấp liên kết Advanced settings bên trái cửa sổ Control Panel.
- Bên trái, chuột phải Inbound Rules chọn New Rule.
- Cửa sổ New Inbound Rule, chọn Custom.
- Nhấp Next.
- Trang Does this rule apply to all programs or specific programs?, đảm bảo radio button chọn All programs.
- Nhấp Next.
- Trang To which ports and protocol does this rule apply?, nhấp dropdown Protocol type, chọn ICMPv4.
- Nhấp nút Customize.
- Cửa sổ Customize ICMP Settings, chọn tùy chọn Specific ICMP types.
- Trong danh sách ICMP types, bật Echo Request.
- Nhấp OK.
- Quay lại trang To which ports and protocol does this rule apply?, nhấp Next.
- Trang hiện ra, chọn radio button Any IP address cho cả Which local IP addresses does this rule apply to? và Which remote IP addresses does this rule apply to?.
Nếu muốn, cấu hình địa chỉ IP cụ thể mà PC phản hồi ping. Các ping request khác bị bỏ qua.
- Trang What action should be taken when a connection matches the specified conditions?, đảm bảo radio button chọn Allow the connection.
- Nhấp Next.
- Trang When does this rule apply, tích/bỏ tích tùy chọn theo yêu cầu.
- Nhấp Next.
- Màn hình cuối, đặt tên rule mới, tùy chọn mô tả. Khuyên thêm ICMPv4 vào tên rule để phân biệt rule ICMPv6 bạn sẽ tạo.
- Nhấp Finish.
Bây giờ tạo rule ICMPv6 bằng cách lặp lại các bước, nhưng ở trang To which ports and protocol does this rule apply?, chọn ICMPv6 thay vì ICMPv4.
- Thoát Windows Defender Firewall khi xong.
Nếu muốn vô hiệu hóa rule, mở Windows Firewall with Advanced Security Control Panel, chọn Inbound Rules bên trái, tìm rule vừa tạo giữa, chuột phải chọn Disable. Các rule cũng có thể xóa – nhưng tốt nhất chỉ Disable để dễ bật lại mà không tạo lại.
2. Cho phép Pings qua Firewall trên Windows PC dùng Command Prompt
Đây là cách nhanh nhất tạo exception cho ping request trên Windows 11/10.
- Nhấn Windows key + R mở Run dialog.
- Trong Run, gõ cmd rồi nhấn CTRL + SHIFT + ENTER mở Command Prompt chế độ admin/nâng cao.
- Trong cửa sổ command prompt, gõ hoặc copy dán lệnh dưới và Enter để tạo exception ICMPv4.
netsh advfirewall firewall add rule name="ICMP Allow incoming V4 echo request" protocol=icmpv4:8,any dir=in action=allow
- Để tạo exception ICMPv6, chạy lệnh:
netsh advfirewall firewall add rule name="ICMP Allow incoming V6 echo request" protocol=icmpv6:8,any dir=in action=allow
Thay đổi có hiệu lực ngay lập tức, không cần reboot.
- Để vô hiệu hóa ping request cho ICMPv4 exception, chạy:
netsh advfirewall firewall add rule name="ICMP Allow incoming V4 echo request" protocol=icmpv4:8,any dir=in action=block
- Để vô hiệu hóa ping request cho ICMPv6 exception, chạy:
netsh advfirewall firewall add rule name="ICMP Allow incoming V6 echo request" protocol=icmpv6:8,any dir=in action=block
Nếu muốn vô hiệu hóa rule nhưng quên tên, chạy lệnh xem danh sách tất cả rule:
netsh advfirewall firewall show rule name=all
Đó là tất cả về cách cho phép Pings (ICMP Echo requests) qua Windows Firewall!
ICMP attack là gì?
ICMP attack (còn gọi Ping flood attack), là tấn công Denial-of-Service (DoS) phổ biến, kẻ đe dọa cố ý làm quá tải thiết bị đích bằng ICMP echo-requests (pings).