Linux如何防止系统被ping-LINUX-PHP中文网

最有效、最低开销的方式是设net.ipv4.icmp_echo_ignore_all=1，使内核在协议栈最底层静默丢弃所有ipv4 icmp echo request（类型8），不进netfilter、零日志、零开销；临时生效执行echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all，永久生效需在/etc/sysctl.conf中添加该行并运行sysctl -p。

linux如何防止系统被ping

最有效、最低开销的方式是直接关闭内核的 ICMP Echo 响应，而不是靠防火墙拦截。 这不是“过滤”，而是让内核在协议栈最底层就把 ICMP Echo Request（类型 8）静默丢弃，不进 netfilter、不触发连接跟踪、不写日志、零额外开销。

临时禁 ping：写 /proc/sys 立刻生效，但重启丢失

用 root 执行：

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

验证是否生效：

cat /proc/sys/net/ipv4/icmp_echo_ignore_all

输出 1 即成功。此时不仅外部 ping 不通，连本机 ping 127.0.0.1 也会超时 —— 这和 iptables 行为不同，要注意测试方式。

恢复 ping：执行 echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
风险点：云平台热迁移、容器重启、某些内核模块重载后该值可能被重置为 0
别试图用 vi /proc/sys/... 编辑 —— 它不是真实文件，强行保存会报错 E667: Fsync failed

永久禁 ping：改 sysctl.conf + 显式 reload

编辑 /etc/sysctl.conf，追加或修改这一行：

net.ipv4.icmp_echo_ignore_all = 1

然后必须执行：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

sudo sysctl -p

注意：systemd-sysctl 服务虽会加载配置，但时机不可控；只改文件不执行 sysctl -p，配置不会生效。

该参数仅影响 IPv4；IPv6 需单独设 net.ipv6.conf.all.icmp_echo_ignore_all = 1
per-interface 设置优先级更高：如果全局设了 1，但 net.ipv4.conf.eth0.icmp_echo_ignore_all = 0，那从 eth0 进来的 ping 仍会响应
查接口级设置：运行 sysctl net.ipv4.conf.eth0.icmp_echo_ignore_all

为什么不用 iptables/nftables 拦 ping？

它们能用，但有明显短板：

规则匹配发生在 netfilter 层，比内核 ICMP 处理晚，多一层开销
哪怕你写了 -j ACCEPT，只要 icmp_echo_ignore_all = 1，ping 就通不了 —— 内核层已提前丢弃
iptables 规则对回环口（lo）默认放行，容易漏掉本地测试场景
容器或 network namespace 内需单独配置，sysctl -p 不自动透传；而 /proc/sys 是 per-namespace 的，更可控

防火墙方案只适合需要精细控制的场景

比如只屏蔽部分 IP、或只封 echo-request 但允许其他 ICMP 类型（如 destination-unreachable），才值得上 firewall-cmd 或 iptables。

典型示例（firewalld）：

firewall-cmd --permanent --add-icmp-block=echo-request

但注意：icmp-block 是按 zone 生效的，得确认当前默认 zone（如 public），且要 --reload 才真正加载。

iptables 等价命令：iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
这类规则无法阻止本机 ping 127.0.0.1，因为回环流量通常绕过 INPUT 链
若同时启用 icmp_echo_ignore_all = 1 和防火墙规则，后者完全无效，纯属冗余

真正容易被忽略的是接口级覆盖和 IPv6 双栈场景 —— 很多人只设了全局 IPv4，结果发现 IPv6 仍可 ping 通，或者某块网卡因 cloud-init 或 NetworkManager 被单独重置了配置。