Iptables防止IP欺骗(Spoofing)的内核参数联动-安全-PHP中文网

iptables本身不能直接防ip欺骗，需依赖内核rp_filter（反向路径检查）和accept_source_route等参数：rp_filter=1为宽松模式，=2为严格模式；accept_source_route=0禁用源路由；再配合iptables封禁私有地址等非法源ip。

iptables防止ip欺骗(spoofing)的内核参数联动

iptables 本身不能直接防止 IP 欺骗（如伪造源 IP 发送数据包），它只是包过滤工具，真正起作用的是内核的反欺骗机制——尤其是 rp_filter（Reverse Path Filtering）和 source_route 等参数。iptables 需要与这些内核参数配合使用，才能有效阻断本地网络中常见的 IP 欺骗行为。

启用严格反向路径检查（rp_filter=1 或 2）

rp_filter 是 Linux 内核用于检测 IP 欺骗的核心机制。它检查收到的数据包的源 IP 是否能通过当前接口的路由表“原路返回”：

rp_filter = 0：关闭检查，完全不防欺骗
rp_filter = 1（宽松模式）：只要存在任意一条路由能到达该源 IP，就接受包（默认常用）
rp_filter = 2（严格模式）：必须能通过**接收该包的同一接口**返回源 IP，否则丢弃（更安全，但可能影响非对称路由环境）

设置方式（以 eth0 为例）：

echo 1 > /proc/sys/net/ipv4/conf/eth0/rp_filter
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter

建议生产环境至少设为 1，并在 all 和具体接口上统一启用；若网络存在明确非对称路由，可单独调低特定接口的值，保留 all=1 做兜底。

禁用 IPv4 源路由选项（accept_source_route=0）

IP 源路由（Source Routing）允许发送方指定数据包经过的中间节点，攻击者可借此绕过防火墙或伪装路径。Linux 默认已禁用，但仍需确认：

echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
echo 0 > /proc/sys/net/ipv4/conf/eth0/accept_source_route

该参数设为 0 后，内核会直接丢弃含源路由选项的 IP 包，无需 iptables 参与——这是比规则匹配更早、更底层的拦截。

配合 iptables 封禁明显非法源地址

内核参数解决通用路径欺骗，iptables 则可补充过滤明确不可路由的地址段。例如，在 INPUT 或 FORWARD 链中添加：

iptables -A INPUT -s 127.0.0.0/8 -j DROP
iptables -A INPUT -s 10.0.0.0/8 -j DROP
iptables -A INPUT -s 172.16.0.0/12 -j DROP
iptables -A INPUT -s 192.168.0.0/16 -j DROP
iptables -A INPUT -s 224.0.0.0/4 -j DROP
iptables -A INPUT -s 0.0.0.0/8 -j DROP
iptables -A INPUT -s 240.0.0.0/5 -j DROP

注意：仅对**外部接口入向流量**应用上述规则（如 eth0），避免误杀本机内网通信；同时确保这些地址段确实不会合法出现在外部流量中。