Ignorar e nunca enviar redirecionamentos ICMP

Por que importa

Um ICMP redirect é uma mensagem de um roteador dizendo use este outro roteador para aquele destino. Num Wi-Fi compartilhado, um atacante pode enviar uma falsa para seu tráfego passar pela máquina dele, onde pode ser observado ou alterado. Recusar redirects mantém suas rotas sob seu controle.

Como funciona

Define as opções accept_redirects e secure_redirects como 0 para IPv4 e accept_redirects como 0 para IPv6, nos grupos de interface all e default. Também define send_redirects como 0, para este computador não enviar redirects aos outros.

Quem deve usar

Certo para desktops, notebooks e a maioria dos servidores. Uma máquina que funciona como roteador pode querer continuar enviando redirects, e algumas redes pequenas dependem deles.

O que você pode notar

Nada em redes comuns. Se o seu computador não é o roteador da rede, ninguém percebe a diferença, e o mesmo vale para os outros dispositivos.

Verifique no seu computador

Leia o valor atual:

sysctl net.ipv4.conf.all.accept_redirects
sysctl net.ipv4.conf.default.accept_redirects
sysctl net.ipv4.conf.all.secure_redirects
sysctl net.ipv4.conf.default.secure_redirects
sysctl net.ipv6.conf.all.accept_redirects
sysctl net.ipv6.conf.default.accept_redirects
sysctl net.ipv4.conf.all.send_redirects
sysctl net.ipv4.conf.default.send_redirects

Aplique à mão

Defina agora (até a próxima reinicialização):

sudo sysctl -w net.ipv4.conf.all.accept_redirects=0
sudo sysctl -w net.ipv4.conf.default.accept_redirects=0
sudo sysctl -w net.ipv4.conf.all.secure_redirects=0
sudo sysctl -w net.ipv4.conf.default.secure_redirects=0
sudo sysctl -w net.ipv6.conf.all.accept_redirects=0
sudo sysctl -w net.ipv6.conf.default.accept_redirects=0
sudo sysctl -w net.ipv4.conf.all.send_redirects=0
sudo sysctl -w net.ipv4.conf.default.send_redirects=0

Mantenha após reinicializações, em um arquivo seu:

sudo tee /etc/sysctl.d/90-net-redirects.conf <<'EOF'
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
EOF
sudo sysctl --system

Desfaça

Remova o arquivo e reinicie, ou volte ao valor antigo com sysctl -w.

Configurações relacionadas

• Recusar pacotes com roteamento pela origem
• Descartar pacotes com endereço de origem forjado
• Ignorar anúncios de roteador IPv6

Fontes

Linux Hardening Guide (madaidans)

2.2.2

ANSSI, Configuration recommendations of a GNU/Linux system (BP-028)

kernel and network settings