针对新手如何配置Linux内核参数丢弃所有源路由数据包保障开放服务安全-安全-PHP中文网

直接让内核不处理源路由包是最省资源、最彻底的防护方式，发生在网络栈最前端，不进iptables、不触发日志、不占连接跟踪表；必须显式设net.ipv4.conf.all.accept_source_route=0和net.ipv4.conf.default.accept_source_route=0，并配合rp_filter=1、accept_redirects=0、send_redirects=0、ip_forward=0等参数构建纵深防护。

针对新手如何配置linux内核参数丢弃所有源路由数据包保障开放服务安全

直接让内核不处理源路由包，是最省资源、最彻底的防护方式。它发生在网络栈最前端，不进iptables、不触发日志、不占连接跟踪表——对开放服务（如Web、API）来说，既保安全又不影响性能。

为什么必须显式关闭 accept_source_route

源路由选项允许发送方在IP头里指定转发路径，攻击者可用它绕过防火墙、伪装私有地址发起反射探测，甚至构造跳转链路。虽然多数发行版默认为0，但容器环境、云镜像或系统更新后可能被重置为1。依赖默认值等于留后门。

两步完成配置：临时验证 + 永久固化

只设 all 不够，新创建的接口（如Docker网桥、K8s CNI接口）会沿用 default 值；必须同时覆盖这两层：

临时生效（立即起效，重启丢失）：
sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0
永久生效（推荐写入独立文件，避免污染主配置）：
echo "net.ipv4.conf.all.accept_source_route = 0" | sudo tee /etc/sysctl.d/99-secure.conf
echo "net.ipv4.conf.default.accept_source_route = 0" | sudo tee -a /etc/sysctl.d/99-secure.conf
加载： sudo sysctl -p /etc/sysctl.d/99-secure.conf

配套参数不能少，否则单点防护易被绕过

源路由只是IP欺骗入口之一，还需同步加固路径校验和控制面：

开启反向路径过滤（防伪造源IP）：
net.ipv4.conf.all.rp_filter = 1（多数场景适用）或 = 2（多宿主/云环境更稳妥）
禁用ICMP重定向（防路由表篡改）：
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
关闭IP转发（除非你真是路由器）：
net.ipv4.ip_forward = 0