最推荐用内核参数net.ipv4.icmp_echo_ignore_all=1实现静默丢弃ICMP Echo Request，不进netfilter、零日志、零开销；临时生效执行echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all，永久生效需在/etc/sysctl.conf中添加该行并运行sysctl -p。
要让Linux服务器在外部扫描中彻底“隐身”，必须让系统对ICMP Echo Request（类型8）报文不做任何响应——不是拦截后返回拒绝，而是从协议栈最底层静默丢弃，连netfilter都不经过，不记日志、不触发连接跟踪、零开销。
用内核参数全局禁Ping（推荐首选）
这一步直接作用于IPv4协议栈入口，比防火墙更底层、更干净。执行后，所有网卡（包括lo）收到的echo-request均被内核无声丢弃。
执行命令临时生效：echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
验证是否已启用：cat /proc/sys/net/ipv4/icmp_echo_ignore_all，输出【1】即成功
注意：该设置重启后失效；若云主机发生热迁移或内核模块重载，该值可能被清空，仅适合测试或短期防护
永久生效需两步：先编辑配置文件sudo nano /etc/sysctl.conf，在末尾追加一行net.ipv4.icmp_echo_ignore_all = 1；再执行sudo sysctl -p加载——【缺sysctl -p这步，配置不会生效】
别往/etc/rc.local里写echo命令——多数现代发行版默认不执行它
用firewalld精准屏蔽echo-request
适用于已启用firewalld且需保留其他ICMP功能（如destination-unreachable）的生产环境。此方式不干扰内核参数，与前者可共存，但优先级低于内核层。
方法一：全局禁Ping
执行sudo firewall-cmd --add-icmp-block=echo-request --permanent
立即重载规则：sudo firewall-cmd --reload
验证结果：sudo firewall-cmd --list-icmp-blocks应显示echo-request
此时外部ping将显示Request timed out，扫描器无法确认主机在线
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
方法二：白名单放行可信源（如运维内网）
第一步：放行指定网段（例如10.0.0.0/8）sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" icmp-type="echo-request" accept' --permanent
第二步：再全局屏蔽其余所有echo-requestsudo firewall-cmd --add-icmp-block=echo-request --permanent
第三步：sudo firewall-cmd --reload
【rich rule必须在icmp-block之前添加，否则会被后者覆盖】
进阶防护：封禁traceroute与时间戳探测
攻击者常通过traceroute和ICMP时间戳进一步测绘网络拓扑，这些报文在绝大多数业务中完全无用，建议一并屏蔽。
封禁traceroute依赖的关键类型：sudo firewall-cmd --add-icmp-block=time-exceeded --permanent
封禁端口不可达报文（traceroute另一关键路径）：sudo firewall-cmd --add-icmp-block=port-unreachable --permanent
禁用时间戳请求与回复（防系统时间泄露）：sudo firewall-cmd --add-icmp-block=timestamp-request --permanent 和 sudo firewall-cmd --add-icmp-block=timestamp-reply --permanent
全部添加完毕后执行：sudo firewall-cmd --reload
检查是否全部生效：sudo firewall-cmd --list-icmp-blocks应同时列出echo-request、time-exceeded、port-unreachable、timestamp-request、timestamp-reply
