ICMP Redirect 报文导致TCP连接建立不起来的问题分析
主机路由 tcp无效的解决方法
主机路由 tcp无效的解决方法【原创实用版3篇】目录（篇1）1.介绍主机路由 TCP 无效的问题2.原因分析3.解决方法4.总结正文（篇1）一、介绍主机路由 TCP 无效的问题在网络通信中，主机路由 TCP 无效是一种常见的问题。
当出现这种情况时，数据包在网络中传输时可能会出现延迟、丢包等现象，严重影响网络通信的质量。
因此，了解主机路由 TCP 无效的解决方法至关重要。
二、原因分析主机路由 TCP 无效的原因有很多，以下列举了几种常见的原因：1.网络拥堵：当网络中的数据包过多时，可能导致路由器处理不过来，从而使得 TCP 数据包无法正常传输。
2.路由器配置问题：如果路由器的配置不当，可能会导致 TCP 数据包无法正常转发。
3.网络设备故障：如果网络设备出现故障，如路由器、交换机等，可能会导致 TCP 数据包无法正常传输。
4.错误的 TCP 参数配置：如果主机上的 TCP 参数配置不正确，可能会导致 TCP 数据包无法正常传输。
三、解决方法针对主机路由 TCP 无效的问题，可以采取以下几种解决方法：1.优化网络环境：可以通过增加网络带宽、减少网络中的数据包传输等方式，来缓解网络拥堵的问题。
2.检查并调整路由器配置：可以检查路由器的配置，确保 TCP 数据包能够正常转发。
如有需要，可以调整路由器的配置。
3.检查并修复网络设备：可以检查网络设备是否存在故障，如路由器、交换机等。
如有故障，应及时进行修复或更换。
4.调整主机上的 TCP 参数配置：可以检查主机上的 TCP 参数配置，确保其正确性。
如有需要，可以进行相应的调整。
四、总结总之，主机路由 TCP 无效的问题可能会给网络通信带来诸多不便。
目录（篇2）1.确认问题：主机路由 TCP 无效2.原因分析：TCP 连接建立失败、路由器设置问题、防火墙阻止、系统故障3.解决方法：检查主机 TCP 端口、调整路由器设置、关闭防火墙或开放相应端口、检查系统设置4.总结：主机路由 TCP 无效的解决方法正文（篇2）在网络通信中，主机路由 TCP 无效是一个常见的问题。
ICMP阻塞策略
ICMP阻塞策略网络通信中，Internet控制消息协议（Internet Control Message Protocol，简称ICMP）是一个重要的网络协议。
它用于在IP网络中传递控制与错误消息，以提供网络的良好运行和故障排除。
然而，由于某些原因，有时候我们需要对ICMP进行阻塞，以保护网络安全和提高网络性能。
本文将介绍和论述几种常见的ICMP阻塞策略，并提供解决方案的建议。
1. ICMP协议简介ICMP是一种在网络层使用的协议，用于发送错误消息和操作控制消息。
它可以提供有关IP数据报处理和网络状态的信息。
ICMP消息可以用于各种目的，例如检测主机是否可达、测量网络延迟和丢包率等。
2. ICMP阻塞的原因尽管ICMP在网络通信中起着重要的作用，但有时候我们需要阻塞ICMP消息。
以下是一些常见的原因：2.1 网络安全在许多情况下，我们希望阻止ICMP消息以增加网络的安全性。
通过阻塞某些类型的ICMP消息，我们可以减少来自外部网络的攻击和探测。
2.2 降低网络负载有时候网络流量过大，为了提高网络性能，我们需要限制ICMP消息的传输。
这可以减少网络拥塞和资源消耗，并提高其他网络应用的效率。
3. 3.1 拒绝ICMP Echo请求ICMP Echo请求通常用于测试目的，例如通过发送ping命令检测主机是否可达。
拒绝或阻塞ICMP Echo请求可以有效减少对网络的探测和扫描。
3.2 拒绝ICMP Redirect消息ICMP Redirect消息用于告知主机新的路由路径。
然而，由于安全原因，我们可能希望阻塞此类消息以防止恶意的路由更改。
3.3 拒绝ICMP Timestamp请求ICMP Timestamp请求通常用于测量网络延迟。
但是，由于滥用可能导致的问题，我们可能需要阻止或限制ICMP Timestamp请求的传输。
3.4 拒绝ICMP Mask请求ICMP Mask请求用于获取目标主机的子网掩码。
ICMP差错报文分析
查询 ·
差错 · · · · · · · · · · · · · · · · · · · · · · ·
· · · · · · · · · · · · ·
Байду номын сангаас
类型 0
代码 0 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 0 0 1 2 3 0 0 0 0 1
3
4
5
8 9 10 11
12 0 1 0 0 0 0 0 0
13 14 15 16 17 18
ICMP差错报文分析 描述 回显应答(Ping应答) 目的不可达 网络不可达 主机不可达 协议不可达 端口不可达 需要进行分片但设置了不分片比特 源站选路失败 目的网络不认识 目的主机不认识 源主机被隔离(作废不用) 目的网络被强制禁止 目的主机被强制禁止 由于服务类型TOS,网络不可达 由于服务类型TOS,主机不可达 由于过滤,通讯被强制禁止 主机越权 优先权中止生效 源端被关闭(基本流控制) 重定向 对网络重定向 对主机重定向 对服务类型和网络重定向 对服务类型和主机重定向 请求回显(Ping请求) 路由器通告 路由器请求 超时 传输期间生存时间为0(Traceroute) 在数据报组装期间生存时间为0 参数问题 坏的IP首部(包括各种差错) 缺少必需的选项 时间戳请求 时间戳应答 信息请求 信息应答 地址掩码请求 地址掩码应答
网络协议和常见故障的解决
网络故障一
网络故障一
故障解决：用华为路由器进行自环，不再看到大量 的CRC校验错误包，说明路由器是好的。更换协议 转换器后仍然不行，出现大量的CRC校验包，确定 故障在协议转换器到网通之间的线路，最终发现 在这之间经过乌海市政府机房，原因是乌海市机 房的线路设备接触不良，重新做接头后恢复正常， 目前CDMA联网恢复正常。
●物理连接
IEEE 802.3规定了几种不同类型的物理层，而以太网 仅仅定义了一种物理层，每一种IEEE 802.3物理层协议都 有一个概括它们自身特点的名称。
局域网技术
计算机 计算机 计算机
以太网
计算机
计算机
网络协议的介绍和故障解决
TCP/IP协议 网络互联设备
局域网技术
常见网络故障的分析与解决
网络互联设备
路由器
路由器实现网络互联是发生在网络层。主要功能有 路由选择，多路重发以及出错检测等 。
路由器
网络协议的介绍和故障解决
TCP/IP协议 网络互联设备
局域网技术
常见网络故障的分析与解决
局域网技术
以太网和IEEE 802.3
以太网是由施乐公司于七十年代开发，IEEE 802.3发 表于1980年，它是以以太网作为技术基础。如今以太网和 IEEE 802.3占据了局域网市场的最大份额，而以太网通常 指所有采用载波监听多路访问／冲突检测（CSMA／CD） 的局域网，包括IEEE 802.3。
网络故障二
故障总结：随着网络规模的不断扩大，网络风暴和 病毒对网络的影响会不断增加。建议采用划分 VLAN的方式来减小网络风暴对网络的影响，同时 增加防火墙进行端口过滤，限制病毒对整个网络 的影响。否则一台电脑中病毒，会对整个局域网 的电脑造成影响。
实验二网络层ICMP协议分析
实验二网络层ICMP协议分析网络层ICMP协议（Internet Control Message Protocol）是一种在IP网络中进行错误报告和网络诊断的协议。
它主要用于在网络中传递控制消息，以便网络设备之间能够进行通信和故障排除。
ICMP协议主要由两个部分组成：ICMP消息和ICMP协议头。
ICMP消息用于在网络中传递不同类型的控制信息。
常见的ICMP消息类型包括错误报告、数据包丢失报告、时间戳请求和回应、回声请求和回应等。
其中，错误报告是最常见的一种ICMP消息类型，它用于报告由于网络故障或错误引起的问题。
例如，当发送的IP数据包无法到达目的地时，目的主机会发送一个ICMP错误报告给源主机，以通知其数据包的传输失败。
ICMP协议头位于IP数据包的头部，它包含了ICMP消息类型、代码、校验和等字段。
ICMP协议头中最重要的字段是类型和代码字段。
类型字段用于指示ICMP消息类型，而代码字段用于进一步细分ICMP消息的类型。
例如，类型字段为3，代码字段为1表示网络不可达的错误类型。
ICMP协议在网络中的应用非常广泛。
它提供了一种机制，使得网络设备能够向其他设备发送错误报告和网络诊断信息，从而确保网络的正常运行。
在网络故障排查过程中，ICMP协议经常被用于诊断网络连接问题。
例如，当一个主机无法与另一个主机通信时，可以使用ICMP协议发送回声请求消息，以测试两台主机之间的连通性。
另外，ICMP协议还可以用于网络性能测试。
通过发送时间戳请求和回应消息，可以测量网络的延迟和带宽。
这对于网络管理员来说是非常重要的，因为它可以帮助他们确定网络的质量并采取相应的优化措施。
总结起来，ICMP协议在网络层起着至关重要的作用。
它通过传递控制信息和错误报告，帮助网络管理员进行故障排除和网络性能优化。
它的灵活性和可扩展性使得其在互联网中得到广泛应用，成为网络通信和故障排查的重要工具。
如何进行TCP协议的错误排查与故障处理？(三)
TCP（Transmission Control Protocol）作为一种重要的网络传输协议，在互联网通信中扮演着重要的角色。
然而，在使用TCP协议过程中，难免会出现一些错误和故障。
本文将从四个方面探讨如何进行TCP协议的错误排查与故障处理。
一、连接问题排查在TCP通信中，连接问题是最常见的错误之一。
当连接失败时，可以采取以下步骤进行排查。
1. 确认网络连接：首先，检查计算机是否正常连接到网络，可以通过使用其他网络应用程序或者ping命令来确认。
2. 确认端口号：确认通信双方使用的端口号是否正确配置，在客户端和服务器端分别检查。
3. 检查防火墙设置：防火墙设置可能会阻止TCP连接，确保防火墙允许TCP流量通过。
4. 检查IP地址和域名：确认服务器的IP地址或域名是否正确输入，如果使用域名，还需要确认DNS解析是否成功。
二、传输问题排查除了连接问题，TCP协议中的传输问题也可能导致错误和故障。
以下是排查传输问题的步骤。
1. 检查带宽限制：网络中的带宽限制可能导致数据传输缓慢，使用网络性能工具检测网络带宽是否正常。
2. 排除网络拥堵：网络拥堵也会导致TCP连接问题，可以使用网络分析工具检测网络流量和拥堵情况。
3. 检查MTU设置：MTU（Maximum Transmission Unit）表示在单个数据包中可以携带的最大数据量，确保在网络路径上的每个设备都设置正确的MTU值。
4. 排查传输错误：TCP协议中的传输错误可能包括丢包、重传和乱序等问题，可以使用网络抓包工具来分析传输过程中的错误。
三、性能问题排查在TCP通信中，性能问题可能导致连接慢或数据传输速度低下。
以下是排查性能问题的步骤。
1. 检查网络延迟：网络延迟可能导致连接时延增加，可以使用ping命令或者网络性能工具来检测延迟情况。
2. 确认带宽利用率：带宽利用率过高可能导致传输速度下降，使用网络性能监测工具来确认带宽利用率是否正常。
3. 检查硬件性能：服务器或客户端的硬件性能问题也会导致TCP 通信性能下降，检查服务器负载情况以及客户端设备的性能状态。
icmp重定向报文导致的故障分析和解决-20031-b
资料编码产品名称使用对象工程师产品版本编写部门技术支持中心资料版本ＩＣＭＰ重定向报文导致的故障分析和解决 拟制审核审核批准华为 ３Ｃｏｍ技术有限公司版权所有侵权必究修订记录日期修订版本描述作者2002-12-30 完稿方科星目录第1章两个奇怪的故障现象 (1)1.1 第一个奇怪的故障现象 (1)1.1.1 组网情况 (1)1.1.2 故障现象 (2)1.2 第二个奇怪的故障现象 (2)1.2.1 组网情况 (2)1.2.2 故障现象 (2)第2章 ICMP重定向报文 (3)2.1 概述 (3)2.2 交换机上的ICMP重定向报文 (4)第3章故障分析和解决 (5)3.1 故障分析 (5)3.1.1 第一个故障现象的分析 (5)3.1.2 第二个故障现象的分析 (6)3.2 故障解决 (6)3.2.1 第一个故障的解决 (7)3.2.2 第二个故障的解决 (7)第4章总结 (9)关键词由几个奇怪的故障现象说起参考资料清单第1章两个奇怪的故障现象1.1 第一个奇怪的故障现象1.1.1 组网情况组网说明Ｓ６５０６上的VLAN 100的虚接口的地址是10.10.10.1/2410.10.10.92. S3026上的VLAN上行到S3526上进行终结即S3526做三层转发3. S3526上配置一条默认路由指向S6506的VLAN 100虚接口的地址４． Ｓ６５０６上配置到各个S3526上网段的路由华为3Com版权所有违者毕竟 1华为3Com 版权所有 违者毕竟 21.1.2 故障现象PING S6506的虚接口地址不通或是有丢包1.2 第二个奇怪的故障现象1.2.1 组网情况组网说明２． Ｐ设备上有一默认路由指向VRRP 的虚地址S6506_1ÓұߵĽӿںÍNE05的接口在一个网段Ｓ６５０６＿２ＮＥ０５启用OSPF 协议Ｓ６５０６＿２和R1602左边的接口但是PING R1602右边的接口和NE05接口的地址有DUPÏȽéÉÜÒ»¸ö¸ÅÄî华为3Com 版权所有 违者毕竟3第2章 ICMP 重定向报文2.1 概述重定向一般是用来让具有很少选路信息的主机逐渐建立更完善的路由表的即默认路由表项一旦默认路由发生差错并允许主机对路由表进行相应的改动而把所有的智能特性放在路由器端经过查看路由后发现这个报文还要从这个端口转发出去即在路由器上看一个简单的组网1. PC1如果要上Internet因为PC1的网关指向R1的接口2. R1收到数据报文并检查它的路由表当它把报文发送给R2时这样就给路由器发送重定向报文给原始发送端提供了线索1.1.1.11.1.1.3Ip route 0/0 1.1.1.3Internet 出口3. R1认为PC1应该把默认路由指向R2告诉它以后把数据报文发送给R2ÎÒÃÇ¿ÉÒÔ°ÑÒ»¸öÎïÀí¶Ë¿Ú¿´³ÉÊǵÄÈ»ºóÓÖ´ÓÕâ¸ö½Ó¿Ú³öÀ´而对于三层交换机而言二层真正具有属性的是VLAN 虚接口然后又从这个VLAN虚接口转发出去不是二层转发或者说ICMP重定向报文的触发条件是在同一网段内的三层转发一个物理接口可以属于多个VLANÈ»ºóÓÖ´ÓÕâ¸ö¶Ë¿Ú³öÈ¥ÒòΪËüÃÇÓпÉÄÜ×ßµÄÊDz»Í¬µÄÐé½Ó¿Ú华为3Com版权所有违者毕竟 4华为3Com 版权所有 违者毕竟 5第3章 故障分析和解决3.1 故障分析3.1.1 第一个故障现象的分析我们先考虑一个局部然后要去往S3526B 下面2.2.2.0/24网络1. S3526A 根据路由表将报文转发到S6506ÕÒµ½ÏÂÒ»ÌøÊÇ10.10.10.33. 同时S6506发现这个报文进出的VLAN 接口相同发往S3526A4. S3526B 回应报文再次产生重定向报文Ｓ３５２６Ｂ的路由已经静态配置所以任意两个S3526之间的通信都会导致重定向报文的产生当整个网络流量很大的时候这时如果PING S6506的虚接口那么为什么下面的用户互通没有问题呢对于交换机而言主机流程和转发流程比如PING 虚接口启动了动Interface vlan 10010.10.10.2/24Interface vlan 200华为3Com 版权所有 违者毕竟 6态路由协议等基本上是由硬件自动完成的MAC 地址的学习不需要CPU 的干预如果是如果不是交换机下的用户互通走的是转发流程所以有不同的结果我们也先看一个局部1. PING 同一网段内的地址 这时P 设备直接发ICMP REQUESTS6506_2ËùÒÔPING 正常S6506根据OSPF 学到的路由信息将报文转发到R1602»»¾ä»°Ëµ·¢Ë͵½P设备P 设备收到这个ICMP 重定向报文后这样R1602就收到了两份相同的ICMPREQUEST 报文但是它并没有办法修改自己的路由信息这样不停地反复3.2 故障解决可以看到这种ICMP 重定向报文的产生一般都是由于网络设计不合理导致的3.2.1 第一个故障的解决对于这个组网方案一如果是采用静态路由的方式2.2.2.0/24 10.10.10.3这样的话在这种情况下只行使了二层转发的职能相对于原先的方案来说同时大大减轻了S6506的负担就资源利用来说是比较合理的在S3526上要配置很多路由如果采用动态路由的话配置相对简单方案二比如S6506和S3526A对接的虚接口启用VLAN 10010.10.10.2/30分别配置IP地址10.10.10.5/30然后再在S6506上配置两条路由但是由于报文进出的VLAN虚接口不一样优点只需一条默认路由所有S3526之间互通的三层转发都在它上面完成缺点增加了配置的复杂性华为3Com版权所有违者毕竟7华为3Com 版权所有 违者毕竟 8方案假设原来S6506和R1602采用的是interface vlan 1000现在S6506和R1602对接我们采用VLAN 2000±ÈÈçÊÇ192.168.2.0/29S6506_2配置为 192.168.2.2/29这样S6506通过OSPF 从R1602学习到的路由得下一跳为192.168.2.3S6506再转发PDSN 设备的报文的时候走的是inferfacevlan 2000inferface vlan 1000ËùÒÔ²»»á²úÉúÖض¨Ïò±¨ÎIJ»ÐèÒªÐÞ¸ÄP 设备的配置需要重新进行IP 地址的规划第4章总结综合上面两个问题来看忽略了ICMP报文重定向导致的提出这个概念的时候应该还没有三层交换机这种设备而实际在使用路由器为三层转发设备的网络中这样就使得我们一直没有重视ICMP报文重定向这个问题或者说报文三层转发的入端口和出端口可能属于同一个VLAN×éÍøÏÝÚåµ±¶ą̀É豸Á¬½ÓÔÚij̨Èý²ã½»»»»úµÄͬһ¸öVLAN的接口上时特别是在星型组网的时候Ｓ６５０６Ｓ３５２６等一系列三层交换机的大规模应用越来越复杂同时我们还应该举一反三华为3Com版权所有违者毕竟9。
ICMP路由重定向期骗引发的网络故障1
ICMP路由重定向期骗引发的网络故障--------- ARP欺骗的姊妹篇ARP欺骗是局域网中永恒的话题，就目前的协议而言，是无法终结它的。
但只要掌握其运行机制、原理，可以做到有效的预防、控制。
相对ARP而言，关于ICMP重定向报文期骗故障网上讨论的较少了，似乎没有ARP危害强烈，而根据我亲身经历的一次网络不通故障，深感其危害之大，现大家分享之。
故障环境：用户的计算机系统是WINXP，基本配置如下IP:192.168.0.254子网掩码：255.255.255.0默认网关：192.168.0.1DNS服务器：218.104.111.122218.104.111.114故障现象：用户反映能上QQ,不能打开网页了。
根据现象问题似乎很明显了，DNS解析不正常了。
故障排除：在用户机器上PING网关192.168.0.1,能正常返回数据包，然后又PING域名服务器218.104.111.122\218.104.111.114，结果都不通了。
当然这也不能说明问题，后来查看了一下本地的路由表了，发现问题了：如下图1所示图1在方框中好像多了两条路由记录；它们的意思是到目地218.104.111.114和218.104.111.122的数据包都跳转到网关192.168.0.16了。
但实质上正确的数据走向就应该是到网关192.168.0.1。
不能打开网页也就在情理之中了。
我马上查看了本地连接属性如下图2所示：图2这里显示一切配置正常了。
原来这WINDOWS的DNS解析机制是先查看本地路由表，如果没有数据包转发的路径了，就跳转到设定的网关。
在本案中，因为它发现了转发的路径了，就不会跳转到默认的网关了。
既然如此，清除那两条记录不就行了吗？我将本地网卡禁用后再启用它（当然，也可以在本地用ROUTE命令完成了），再查看本地路由（如下图3），一切正常了。
图3这个时候网页访问一切正常了。
故障分析：本地路由表中怎么会自动更新记录呢，这让人联想到了ARP表的更新，原理应该是一样了。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
今天碰到美国客户的一个问题, 防火墙在升级了新release的os image后,如下客户拓扑环境所示,pc2可以访问pc1,但是pc1无法访问pc2, 不过ping都可以通. 据说售后电话被打暴:(.大家压力不小.
实验室分析,发现原来是icmp redirect 报文惹得祸,代码中的错误导致的.
客户的配置:
pc2配置了一条缺省路由,指向10.20.1.1,防火墙上配置了一条静态路由,到目的地址
10.20.2.0/24的报文,下一跳为10.20.1.10.
路由器上缺省路由指向10.20.1.1, pc1配置了缺省路由指向10.20.2.1.
分析:
(1) 从pc2发向pc1的报文, 根据路由会首先送到防火墙接口10.20.1.1, 根据icmp
redirect规则, 防火墙会发icmp redirect报文给pc1, 指明从pc1去往目的地址
10.20.2.20的下一跳网关应该是10.20.1.10, pc1的转发表里就会多一条到主机
10.20.2.20的路由,之后的所有报文会直接发到10.20.1.10.
pc1可以正确收到pc2发过来的报文, 并且pc1返回给pc2的报文,通过路由器直接送到
10.20.1.20.
从pc2到pc1的交互是没有问题的.
(2) 现在我们考虑从pc1主动发起的到pc2的TCP连接. pc1首先会发一个TCP同步syn
报文给pc2, 当pc2收到这个报文后, pc2会回一个syn/ack报文给pc2, 根据路由表这个
syn/ack报文会发到防火墙端口上.
现在问题就来了! 防火墙不同于路由器, 防火墙有大量安全特性. 当防火墙收到syn/ack
报文时候, 在cache中确查询不到pc1发送的连接(syn)信息, 我们的防火墙代码会丢弃这
个报文, 并且发一个TCP RST报文给pc2. 这样pc1就永远都没有办法与pc2建立起TCP
连接了.
解决办法:
防火墙收到syn/ack的时候, 丢弃报文, 但是仍然会发一个icmp redirect报文给pc2. pc2中就有了一条主机路由.
防火墙仍然再发送一个TCP RST报文给pc2.(这个可以商榷)
现在pc1就可以主动与pc2建立起TCP连接了.
总结:
在设计拓扑环境的时候, 必须考虑数据流动的两个方向, 并且针对不同类型设备, 要做不同的网络方案考虑. 防火墙和路由器在很多方面不同, 防火墙有很多4-7层的特性是必须要考虑的.
!!! 所以, 在设计包含有防火墙设备的网络方案时候, 必须要考了4层的各方向的连通性, 所以不能只通过ping/trace工具做网络分析了, 必须使用TCP ping工具做网络分析, iperf 是很好的网络测试分析工具.
! 以下规则引用自TCP/IP协议详解第一卷, 主要针对4.4.BSD操作系统所做的分析, 不一定于实际网络设备router实现一致.
ICMP 重定向报文的接收者必须查看三个IP地址：
1.导致重定向的IP地址，即ICMP重定向报文的数据位于IP数据报的首部
2.发送重定向报文的路由器的IP地址，包含重定向信息的IP数据报中的源地址
3.应该采用的路由器IP地址在ICMP报文中的4 ~ 7字节
关于ICMP重定向报文有很多规则：
首先，重定向报文只能由路由器生成，而不能由主机生成。
另外，重定向报文是为主机而不是为路由器使用的。
假定路由器和其他一些路由器共同参与某一种选路协议,则该协议就能消除重定向的需要。
重定向报文只会在主机上生成一条目的地址为32位主机的路由. 路由器不会处理重定向报文.
在4.4,B,S,D系统中,当主机作为路由器使用时,要进行下列检查,在生成,ICMP,重定向报文之前这些条件都要满足,
1.出接口必须等于入接口
2.用于向外传送数据报的路由不能被ICMP重定向报文创建或修改过，而且不能是路由器
的默认路由
3.数据报不能用源站选路来转发
4.内核必须配置成可以发送重定向报文
另外，一台4.4,B,S,D主机收到,ICMP,重定向报文后,在修改路由表之前要作一些检查,这是为了防止路由器或主机的误操作,以及恶意用户的破坏,导致错误地修改系统路由表
1.新的路由器必须直接与网络相连接,
2.重定向报文必须来自当前到目的地所选择的路由器,
3.重定向报文不能让主机本身作为路由器,
4.被修改的路由必须是一个间接路由,
关于重定向最后要指出的是,路由器应该发送的只是对主机的重定向，代码1或3，而不是对网络的重定向。
子网的存在使得难于准确指明何时应发送对网络的重定向而不是对主机的重定向,只当路由器发送了错误的类型时,一些主机才把收到的对网络的重定向当作对主机的重定向来处理。
在举个例子分析上面的规则, 如下拓扑图所示, 配置如上图的客户配置, 当pc3发送报文到pc1的时候, 根据规则,
防火墙仍然会产生一个icmp redirect单播报文, 这个报文会经路由器转发到pc3.
但是pc3不会根据这个icmp redirect报文生成一条主机路由, 因为下一跳不在直连网络中.。