Linux服务器如何防范ICMP洪水攻击禁用Ping与限制速率方法-LINUX-PHP中文网

Linux服务器禁ping不能只靠icmp_echo_ignore_all=1，因其仅屏蔽响应而不拦截ICMP包，无法缓解ICMP洪水攻击造成的软中断、带宽和CPU压力；真正有效防护需分层：网卡层分流、raw表快速丢弃、hashlimit限速，并合理配置iptables/firewalld规则优先级。

linux服务器如何防范icmp洪水攻击禁用ping与限制速率方法

Linux服务器禁ping不能只靠关一个开关，ICMP洪水攻击（如ping flood）本质是利用大量ICMP Echo Request耗尽带宽或CPU资源，单纯设置 net.ipv4.icmp_echo_ignore_all = 1 能屏蔽响应，但无法阻止ICMP包到达内核、排队、触发中断——这本身就会造成负载。真正有效的防护需要分层：先过滤无效流量，再限制合法ICMP速率，最后才考虑是否彻底禁用响应。

为什么 `icmp_echo_ignore_all = 1` 不等于防攻击

这个内核参数只是让内核在协议栈上层“不生成Echo Reply”，但它不拦截原始ICMP包。攻击者发10万pps的 echo-request，网卡照样收、软中断照样处理、conntrack表照样可能被填满（如果启用了连接跟踪）、日志照样刷屏（如果开了log_martians）。实测中，即使设为1，单核CPU在50k+ pps ICMP洪水中仍可能软中断占满90%。

所以它适合「降低暴露面」，而非「抗洪」。

仅对本机响应生效，不影响转发路径上的ICMP（比如你做网关时）
不减少网络接口接收压力，也不影响iptables规则匹配顺序
若同时启用iptables -A INPUT -p icmp --icmp-type 8 -j DROP，规则会早于该参数起作用，此时参数实际不生效

`iptables` 拦截ICMP前必须确认链和表位置

很多运维直接加 iptables -A INPUT -p icmp --icmp-type 8 -j DROP 就以为完事，但漏了两个关键点：一是没指定-i接口（比如只封外网eth0，放行内网bond0），二是没考虑raw表优先级。ICMP包进入netfilter后，会先过raw表（常用于NOTRACK），再进mangle，最后到filter的INPUT链。如果你在raw里写了-j NOTRACK，而ICMP又恰好匹配，那后续filter规则根本不会执行。

更稳妥的做法是：在raw表显式丢弃，避免绕过：

iptables -t raw -A PREROUTING -p icmp --icmp-type 8 -j DROP

或者限定接口+状态，兼顾管理需求：

只封公网接口：iptables -A INPUT -i eth0 -p icmp --icmp-type 8 -j DROP
允许已建立连接的ICMP（比如traceroute用的time-exceeded）：iptables -A INPUT -p icmp --icmp-type 3 -m state --state ESTABLISHED,RELATED -j ACCEPT
禁止所有ICMP但留出必要类型（如type 3 destination-unreachable）可配合ipset做白名单

用 `iptables` + `hashlimit` 限速比全禁更实用

完全禁ping会阻碍运维排障（比如监控系统用ping探测存活），也影响部分依赖ICMP的工具（如mtr、某些SDN健康检查）。更合理的做法是限速：允许少量探测，但拒绝突发流量。

例如，限制每个源IP每分钟最多5个echo-request：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

iptables -A INPUT -p icmp --icmp-type 8 -m hashlimit \
  --hashlimit-above 5/minute \
  --hashlimit-burst 5 \
  --hashlimit-mode srcip \
  --hashlimit-name icmp_limit \
  -j DROP

注意几个易错点：

--hashlimit-burst不是“首次允许多少”，而是令牌桶初始容量；超过后按速率限制放行
--hashlimit-name必须全局唯一，重复会导致规则加载失败
该模块依赖xt_hashlimit内核模块，CentOS 7默认已加载，但Alpine等精简系统需手动modprobe xt_hashlimit
不要和limit模块混用——limit无源IP区分能力，容易误伤

firewalld用户别跳过`rich rule`的`priority`字段

用firewall-cmd配禁ping时，很多人只写：

firewall-cmd --permanent --add-rich-rule='rule protocol value="icmp" drop'

但这会在filter表末尾追加规则，而firewalld默认的public区域规则里已有ACCEPT相关ICMP的规则（比如允许echo-reply）。结果就是drop规则永远不命中。

正确做法是提高优先级，确保它早于其他ICMP规则：

firewall-cmd --permanent --add-rich-rule='rule priority="100" protocol value="icmp" drop'

数值越小优先级越高（0最高），建议设为100以下避开firewalld自动生成规则的范围（通常从200开始）。改完必须firewall-cmd --reload，且--permanent不可省略，否则重启失效。

另外，firewalld的rich rule不支持hashlimit，要限速只能切回iptables或改用nftables。

真正抗ICMP洪水的关键不在“禁”而在“筛”：优先在网卡驱动层（如启用rps、调大net.core.netdev_max_backlog）分流压力，再用iptables raw表快速丢弃，最后用hashlimit兜底限速。把icmp_echo_ignore_all当成最后一道门禁，而不是整面墙。