Icmp

Ping, pas le reste de l’ICMP, est le risque : l’écho est un canal auquel chaque hôte doit répondre avec vos propres octets, si bien qu’un réseau qui « n’autorise que le ping » a déjà un VPN complet vers l’extérieur. On parcourt d’abord la menace — ce qu’elle coûte à votre sortie, et comment un visiteur sur votre WiFi ou une prise ethernet non verrouillée peut en ouvrir un — puis trois tunnels qui marchent, bâtis sur le seul ping (Hans, icmptunnel, et un court en Python avec AES-128), les pièges du MTU et de l’IPv6, et la règle qui le ferme : jeter l’écho, garder les erreurs, sur nftables, pf, Cisco, Junos, MikroTik et Windows.

« Le port 445 est bloqué quelque part » n’est pas un diagnostic, et c’est pour ça que les tickets pare-feu rebondissent entre vous et votre opérateur pendant une semaine. Chaque routeur du chemin vous doit un ICMP Time Exceeded quand votre budget de sauts est épuisé, et ça transforme un délai d’attente en une distance. J’ai fait monter le TTL sur ma propre ligne et j’ai trouvé trois défauts que je ne me connaissais pas : un blocage SMB à onze sauts, des resets SMTP forgés à un saut, et une règle IPv4 sans jumelle IPv6.