Pakete mit gefälschter Absender-Adresse verwerfen

Warum es wichtig ist

Angreifer setzen oft eine falsche Absenderadresse auf Pakete, um sich zu verstecken oder für eine vertrauenswürdige Maschine zu gelten. Die Reverse-Path-Filterung prüft, ob eine Antwort an diese Adresse über denselben Netzanschluss hinausginge, auf dem das Paket ankam. Würde sie das nicht, wird das Paket verworfen.

Wie es funktioniert

Setzt net.ipv4.conf.all.rp_filter und net.ipv4.conf.default.rp_filter auf 1, den strengen Modus. Ein Paket wird nur akzeptiert, wenn die beste Route zurück zu seiner Quelle über die Schnittstelle führt, auf der es ankam.

Für wen es sich eignet

Gut für gewöhnliche Rechner mit einer Verbindung und einfache Server. Lassen Sie es aus oder nutzen Sie den losen Modus (2) auf Maschinen mit mehreren Netzanschlüssen, Policy-Routing oder manchen VPN-Einrichtungen.

Was Sie bemerken könnten

Verbindungen, die über einen Netzweg funktionieren, schlagen über einen anderen fehl, oder ein VPN überträgt keinen Verkehr mehr. Verworfene Pakete zählt nstat als IPReversePathFilter, was auf diese Einstellung weist.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.default.rp_filter

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w net.ipv4.conf.all.rp_filter=1
sudo sysctl -w net.ipv4.conf.default.rp_filter=1

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-net-rp-filter.conf <<'EOF'
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• ICMP-Redirects ignorieren und nie senden
• Pakete mit Quellrouting ablehnen

Quellen

Linux Hardening Guide (madaidans)

2.2.2

Linux kernel documentation

net