ICMP: Fehlerdiagnose mit Ping und Traceroute

Wenn ein Router ein IP-Paket nicht weiterleiten kann, braucht der Absender eine verständliche Rückmeldung. Dafür gibt es das Internet Control Message Protocol, kurz ICMP.

Eine typische Abfolge sieht so aus:

1. Ein Rechner sendet ein IP-Paket.
2. Ein Router kann das Paket nicht zustellen oder muss es verwerfen.
3. Der Router schickt eine passende ICMP-Nachricht an die Quell-IP-Adresse zurück.
4. Der sendende Rechner oder ein Diagnoseprogramm wertet die Rückmeldung aus.

ICMP macht die Übertragung dadurch nicht zuverlässig. Das Protokoll fordert nicht automatisch verlorene Nutzdaten erneut an und stellt auch nicht deren richtige Reihenfolge her. Solche Aufgaben übernehmen bei Bedarf andere Protokolle oder Anwendungen.

ICMP ist außerdem verbindungslos: Es baut vor einer Nachricht keine Verbindung und keinen TCP-Handshake auf. Es verwendet auch keine Portnummer, um einen bestimmten Anwendungsdienst anzusprechen.

Eine ICMP-Nachricht liegt im Datenbereich eines IP-Pakets. Im IPv4-Header kennzeichnet die Protokollnummer 1 ICMP. Für ICMPv6 wird die Nummer 58 verwendet.

Der ICMP-Header beginnt mit drei wichtigen Angaben:

• Typ: bezeichnet die Art der Nachricht, etwa Echo Request oder Time Exceeded.
• Code: präzisiert die Bedeutung innerhalb eines Typs.
• Prüfsumme: hilft, Übertragungsfehler in der ICMP-Nachricht zu erkennen.

Danach folgt ein typabhängiger Datenbereich. Bei Fehlermeldungen können darin Teile des auslösenden IP-Pakets stehen. So kann der Empfänger die Meldung dem ursprünglichen Vorgang zuordnen. Der genaue Inhalt hängt vom Nachrichtentyp und von der IP-Version ab.

Für häufige Diagnosevorgänge sind diese Typen wichtig:

Ping prüft mit ICMP-Echo-Nachrichten, ob ein Ziel antwortet, und misst die Laufzeit für Hin- und Rückweg.

1. Der Ausgangsrechner sendet einen Echo Request.
2. Ein erreichbares und antwortendes Ziel sendet einen Echo Reply zurück.
3. Aus der vergangenen Zeit ergibt sich die Round Trip Time, kurz RTT.

Eine erfolgreiche Antwort belegt die Erreichbarkeit für diesen Versuch. Eine ausbleibende Antwort hat dagegen mehrere mögliche Ursachen:

• Das Ziel oder ein Teil des Weges ist nicht erreichbar.
• Ein Paket oder seine Antwort ging verloren.
• Eine Firewall oder ein Gerät filtert Echo-Nachrichten.
• Das Ziel ist erreichbar, beantwortet Echo Requests aber nicht.

Jedes IP-Paket besitzt eine begrenzte Lebensdauer. Bei IPv4 heißt das zugehörige Feld Time to Live, kurz TTL. Jeder weiterleitende Router verringert den Wert. Erreicht er 0, verwirft der Router das Paket und kann eine ICMP-Nachricht Time Exceeded an die Quelle senden.

Das verhindert, dass Pakete bei einer Routingschleife endlos weitergeleitet werden.

Traceroute nutzt den TTL-Mechanismus gezielt:

1. Es sendet zunächst ein Paket mit TTL 1.
2. Der erste Router verwirft es und meldet Time Exceeded.
3. Danach sendet Traceroute ein Paket mit TTL 2.
4. Nun kann der zweite Router antworten.
5. Das Verfahren wird mit steigenden Werten fortgesetzt, bis das Ziel oder eine andere Abbruchbedingung erreicht ist.

Je nach Betriebssystem, Variante und Einstellung kann Traceroute ICMP oder andere Paketarten verwenden. Außerdem antwortet nicht jeder Router. Eine Lücke in der Anzeige beweist daher nicht automatisch eine Unterbrechung der Route.

ICMP-Nachrichten können verloren gehen, gefiltert oder absichtlich unterdrückt werden. Deshalb ist eine ICMP-Meldung eine Diagnosehilfe, aber kein Beweis dafür, dass alle übrigen Netzwerkfunktionen fehlerfrei oder ausgefallen sind.

ICMP kann außerdem missbraucht werden:

• Bei einer ICMP-Flood treffen sehr viele Echo Requests ein. Verarbeitung und Antworten können die Ressourcen des Ziels belasten.
• Bei einem Smurf-Angriff wird eine gefälschte Quell-IP-Adresse verwendet. Antworten werden dadurch an das Opfer gelenkt und können es überfluten. Dieser Angriff betrifft vor allem unzureichend geschützte oder ältere Netze.
• Beim Ping of Death führen speziell gestaltete oder übergroße, wieder zusammengesetzte Pakete zu Fehlern in verwundbaren Systemen. Der Angriff ist vor allem für ältere Geräte von Bedeutung.
• Beim ICMP-Tunneling wird das Datenfeld zweckentfremdet, um andere Nutzdaten innerhalb von ICMP-Nachrichten zu übertragen.

Das pauschale Sperren aller ICMP-Nachrichten ist keine vollständige Sicherheitslösung. Es kann Diagnose und notwendige Netzrückmeldungen erschweren. Schutzmaßnahmen müssen deshalb zwischen benötigten und verdächtigen Nachrichten unterscheiden.

ICMP macht Vorgänge in IP-Netzen sichtbar, übernimmt aber weder den Transport von Anwendungsdaten noch deren zuverlässige Zustellung. Gute Diagnosen verbinden ICMP-Rückmeldungen deshalb immer mit weiteren Beobachtungen.

Wenn du ICMP sicher verstanden hast, kannst du nun erklären, welche Rückmeldung vorliegt, was sie aussagt und was sich daraus noch nicht ableiten lässt.