这是一个关于 Linux 内核网络配置 的重要问题。
/proc/sys/net/ipv4/conf/all/rp_filter 这个配置项是用来控制系统级别的 反向路径过滤 功能的。
详细解释
1. 什么是反向路径过滤？
反向路径过滤是一种安全机制，用于验证入站数据包的源IP地址是否“可信”。其基本原理是：
当一个数据包从某个网络接口进入时，系统会检查它的源IP地址。然后，内核会查询自己的路由表，看看“如果我要发送一个数据包到这个源IP地址，我会使用哪个出口接口”。
- 验证通过： 如果查询到的出口接口与数据包实际进入的入口接口相同，那么这个数据包就是合法的，允许通过。
- 验证失败： 如果查询到的出口接口与入口接口不同，说明这个数据包的源地址很可能是伪造的（比如在非对称路由等特定合法场景下也可能发生），内核会根据
rp_filter的设置来决定如何处理这个数据包。
2. rp_filter 的工作模式
这个参数可以设置为以下几个值：
0：关闭 不进行任何源地址验证。这是最宽松但也是最不安全的设置。
1：严格模式 严格按照上述原理进行验证。如果出口路由与入口接口不匹配，则丢弃该数据包。这是最安全的设置，但可能会在复杂的网络环境中（如非对称路由）导致合法流量被丢弃。
2：松散模式 这是一种更宽松的检查。它只要求源IP地址在系统的任何一个路由表中存在即可，不要求出口接口必须与入口接口一致。这在一定程度上提供了安全性，同时又兼容了非对称路由的场景。
3. 配置级别
在 /proc/sys/net/ipv4/conf/ 目录下，你可以看到不同级别的配置：
all/rp_filter: 全局默认设置。它会为所有尚未单独设置的接口应用这个值。default/rp_filter: 为新创建的网络接口设置的默认值。<interface-name>/rp_filter(例如eth0/rp_filter)：针对特定网络接口的设置。这个设置的优先级最高。
4. 主要作用
- 防范IP欺骗攻击: 这是最主要的安全目的。它可以有效阻止黑客使用伪造的源IP地址向你的服务器发送数据包（例如在DDoS攻击中伪造源IP）。
- 减少垃圾流量: 丢弃那些明显不符合路由逻辑的数据包，可以节省系统资源。
实际应用与建议
对于大多数服务器:
- 建议设置为 1（严格模式），以提供最佳的安全性。
- 可以使用命令临时修改：
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter - 或者永久修改，在
/etc/sysctl.conf文件中添加：
然后执行net.ipv4.conf.all.rp_filter = 1sysctl -p使其生效。
在复杂的网络环境中:
- 如果你遇到了某些网络连接问题（尤其是在使用了多路径、负载均衡或非对称路由的网络中），并且怀疑是
rp_filter导致的，可以尝试将其设置为 2（松散模式）。 - 如果问题依然存在，再考虑暂时设置为 0（关闭） 来进行故障排除。但从安全角度出发，长期关闭是不推荐的。
- 如果你遇到了某些网络连接问题（尤其是在使用了多路径、负载均衡或非对称路由的网络中），并且怀疑是
“非对称路由”示例
假设你的服务器有两张网卡：
eth0: IP192.168.1.10，连接内网。eth1: IP8.8.8.10，连接公网。
一个来自公网的数据包（源IP是某个公网IP）可能通过某种特殊的网络策略，没有从 eth1 进入你的服务器，而是从 eth0（内网口）进入了。
- 严格模式 (rp_filter=1): Linux内核会查路由表，“去往那个公网IP应该走哪条路？”，答案是
eth1。但数据包却是从eth0进来的。结果：数据包被丢弃。 - 松散模式 (rp_filter=2): Linux内核检查“这个公网源IP在我的路由表里是否存在？”，答案是“存在”。结果：数据包被接受。
总结来说，rp_filter是一个重要的内核级网络安全特性，用于验证入站数据包的真实性以防止IP欺骗攻击。在生产环境中通常建议开启严格或松散模式。
希望这个解释对你有帮助！
内容由零声教学AI助手提供，问题来源于学员提问
![异常服务器收到的包如下0:38.316208 IP (tos 0x0, ttl 112, id 0, offset 0, flags [DF], proto IPIP (4), length 72)
172.22.132.131 > 10.26.211.160: IP (tos 0x0, ttl 118, id 12337, offset 0, flags [DF], proto TCP (6), length 52)
121.35.103.108.5816 > 172.2...](https://linuxcpp.0voice.com/zb_users/upload/2023/05/202305162224299866311.png)
