最有效方式是直接设置net.ipv4.icmp_echo_ignore_all=1，该参数使内核在协议栈最底层静默丢弃所有ipv4 icmp echo request，不进netfilter、零日志、零开销；临时生效用echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all，永久生效需写入/etc/sysctl.conf并执行sysctl -p。
直接改内核参数 net.ipv4.icmp_echo_ignore_all=1 最有效
这不是“拦截”，而是让内核在协议栈最底层就静默丢弃所有 IPv4 ICMP Echo Request（类型 8），连 netfilter 都不进，零日志、零开销、不依赖防火墙。
- 临时生效：
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all（需 root）；执行后ping 127.0.0.1也会超时，这是设计行为，不是 bug - 验证是否生效：
cat /proc/sys/net/ipv4/icmp_echo_ignore_all输出1即成功 - 恢复响应：
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all - 风险点：云平台热迁移、容器重启、内核模块重载可能清空该值，不能只靠临时设置
永久生效必须 sysctl -p 加载配置
只往 /etc/sysctl.conf 写 net.ipv4.icmp_echo_ignore_all = 1 不会自动生效——现代发行版（如 CentOS 8+/Ubuntu 20.04+）的 systemd-sysctl 服务加载时机不可控，手动触发才可靠。
- 编辑配置：
echo 'net.ipv4.icmp_echo_ignore_all = 1' >> /etc/sysctl.conf - 立即加载：
sudo sysctl -p；输出含net.ipv4.icmp_echo_ignore_all = 1表示成功 - 别往
/etc/rc.local里写echo 1 > ...—— 大多数 systemd 系统默认不执行它 - 注意：该参数只控制 IPv4；IPv6 需额外设
net.ipv6.conf.all.icmp_echo_ignore_all = 1
接口级配置可能覆盖全局设置
Linux 内核按 “specific overrides general” 规则决定最终行为。如果全局设了 net.ipv4.icmp_echo_ignore_all = 1，但某网卡（如 eth0）单独设为 0，那从该接口进来的 ping 仍会响应。
- 查全局值：
sysctl net.ipv4.icmp_echo_ignore_all - 查某接口：
sysctl net.ipv4.conf.eth0.icmp_echo_ignore_all - 若需统一屏蔽，建议同时设全局 + 所有活跃接口：
echo 1 > /proc/sys/net/ipv4/conf/eth0/icmp_echo_ignore_all - 容器或 network namespace 内需单独配置，
sysctl -p不自动透传
用 iptables 或 firewalld 拦截是次选方案
这类方式本质是过滤已进入 netfilter 的包，无法规避软中断、conntrack 压力和带宽消耗，对 ICMP 洪水攻击防护效果有限；更适合需要精细控制（如只封外网、放内网）的场景。
-
iptables规则要加在raw表才真正前置：iptables -t raw -A PREROUTING -p icmp --icmp-type 8 -j DROP - 若只加在
INPUT链，且系统启用了NOTRACK或连接跟踪，规则可能被绕过 -
firewalld用户应走标准接口：firewall-cmd --add-icmp-block=echo-request --permanent && firewall-cmd --reload，避免直接操作iptables被覆盖 - 注意：
iptables默认不影响lo接口流量，而内核参数会影响ping 127.0.0.1，行为不一致容易误判
net.ipv4.icmp_echo_ignore_all = 1，却忘了 net.ipv6.conf.all.icmp_echo_ignore_all，或者没检查 net.ipv4.conf.eth0.icmp_echo_ignore_all 是否为 0，结果发现禁 ping 无效。
