Refuser les paquets à routage par la source

Risque faible Coché par défaut dans IbexWall Catalogue révisé le: 2026-11-05

Un paquet peut porter sa propre route, ce qui permet à un attaquant de détourner le trafic vers une machine qu'il contrôle. Ce réglage les refuse.

Pourquoi il compte

Le source routing laisse l’émetteur d’un paquet dicter son chemin. Une attaquante peut s’en servir pour attirer le trafic vers une machine qu’elle contrôle, ou contourner des règles qui dépendent d’où les paquets sont censés arriver. Presque aucun réseau légitime ne l’utilise aujourd’hui.

Comment il fonctionne

Met accept_source_route à 0 pour IPv4 et IPv6 sur les groupes d’interfaces all et default. Les paquets qui portent leur propre route sont alors jetés.

À qui il s'adresse

Convient à pratiquement tous. Ne désactivez que pour des essais réseau ou des laboratoires qui utilisent volontairement des paquets à route imposée.

Ce que vous pouvez remarquer

Rien sur les réseaux ordinaires. Seuls des outils de diagnostic spéciaux employant le source routing sont touchés.

Le vérifier sur votre ordinateur

Lire la valeur actuelle :

sysctl net.ipv4.conf.all.accept_source_route
sysctl net.ipv4.conf.default.accept_source_route
sysctl net.ipv6.conf.all.accept_source_route
sysctl net.ipv6.conf.default.accept_source_route

L'appliquer à la main

La définir maintenant (jusqu'au prochain redémarrage) :

sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0
sudo sysctl -w net.ipv6.conf.all.accept_source_route=0
sudo sysctl -w net.ipv6.conf.default.accept_source_route=0

La conserver après les redémarrages, dans un fichier qui vous appartient :

sudo tee /etc/sysctl.d/90-net-source-routing.conf <<'EOF'
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
EOF
sudo sysctl --system

L'annuler

Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.

Réglages liés

Sources

Linux Hardening Guide (madaidans): 2.2.2
ANSSI, Configuration recommendations of a GNU/Linux system (BP-028): kernel and network settings