最干净禁 ping 方式是设 net.ipv4.icmp_echo_ignore_all=1，内核底层静默丢弃 icmp echo request，不进 netfilter、无开销、不依赖防火墙；ipv6 需单独设对应参数，容器和多网卡需分别配置。
直接改 net.ipv4.icmp_echo_ignore_all=1 就行，这是最干净、最低开销、且不依赖防火墙的禁 Ping 方式。
为什么优先用内核参数而不是 iptables
因为 net.ipv4.icmp_echo_ignore_all=1 让内核在协议栈最底层静默丢弃所有 IPv4 ICMP Echo Request（类型 8），根本不会进 netfilter，不触发日志、连接跟踪或规则匹配。而 iptables 规则必须等包走到 INPUT 链才处理，有额外开销，还可能被 raw 表或 NOTRACK 规则绕过。
常见错误现象：你加了 iptables -A INPUT -p icmp --icmp-type echo-request -j DROP，但 ping 还通——很可能是因为 net.ipv4.icmp_echo_ignore_all=0（默认值），而某条更早的规则（比如 -j ACCEPT）已放行；或者你忘了 loopback 流量通常不走 INPUT 链，所以本地 ping 127.0.0.1 仍成功。
- 该参数设为
1是“静默丢弃”，不发 Destination Unreachable，也不占 conntrack 表项 - 设为
0才恢复响应，不是“启用”，而是“取消忽略” - 它只影响 IPv4；IPv6 必须单独设
net.ipv6.conf.all.icmp_echo_ignore_all = 1
临时禁 Ping：立刻生效但不持久
执行 echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all（需 root 权限），马上生效，包括 ping 127.0.0.1 也会超时——这不是 bug，是设计行为。
验证是否生效：cat /proc/sys/net/ipv4/icmp_echo_ignore_all 输出 1 即成功；恢复只需 echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all。
风险点：重启、云平台热迁移、内核模块重载、某些容器重启都会清空该值；别指望 /etc/rc.local 里写 echo 命令——现代 systemd 系统默认不执行它。
永久禁 Ping：必须 sysctl -p 加载才生效
编辑 /etc/sysctl.conf，追加一行：net.ipv4.icmp_echo_ignore_all = 1。注意：只改值不删旧行会导致重复报错；如果该行已存在且值为 0，直接改成 1 即可。
然后运行 sysctl -p 加载，输出含 net.ipv4.icmp_echo_ignore_all = 1 表示成功。systemd-sysctl 服务虽会自动加载，但时机不可控，手动执行更可靠。
别漏掉 per-interface 设置：Linux 按 “specific overrides general” 规则决定最终行为。例如全局设 =1，但 net.ipv4.conf.eth0.icmp_echo_ignore_all = 0，那么从 eth0 进来的 ping 仍会响应。查接口值用 sysctl net.ipv4.conf.eth0.icmp_echo_ignore_all，必要时也写进 /etc/sysctl.conf 并同步设置。
容器和 network namespace 内要单独配
sysctl -p 不会自动透传到子命名空间，容器启动时也不会继承宿主机的 /proc/sys 值。Docker 默认不挂载 /proc/sys，得用 --sysctl 参数显式传入，例如：docker run --sysctl net.ipv4.icmp_echo_ignore_all=1 ...；Pod 中则需在 securityContext 里配置 sysctls。
多网卡场景下，lo（回环口）常被厂商镜像设为 0，导致 ping 127.0.0.1 通但外网不通——调试时务必确认接口级值，而不是只看全局。
真正难的不是怎么关，而是关了之后监控系统或健康检查是否 fallback 到 ping；有些服务依赖 ICMP 探活，盲目关闭会导致误告警或排障困难。
