Descartar pacotes com endereço de origem forjado

Por que importa

Atacantes costumam pôr endereço de remetente falso nos pacotes, seja para se esconder, seja para passar por uma máquina confiável. O filtro de caminho reverso verifica se uma resposta àquele endereço sairia pelo mesmo enlace por onde o pacote entrou. Se não sairia, o pacote é descartado.

Como funciona

Define net.ipv4.conf.all.rp_filter e net.ipv4.conf.default.rp_filter como 1, o modo estrito. Um pacote só é aceito se a melhor rota de volta à sua origem passa pela interface por onde ele chegou.

Quem deve usar

Bom para computadores com uma conexão e servidores simples. Deixe desligado, ou use o modo folgado (2), em máquinas com vários enlaces, roteamento por política ou algumas configurações de VPN.

O que você pode notar

Conexões que funcionam num caminho de rede falham noutro, ou uma VPN para de passar tráfego. Pacotes descartados aparecem no nstat como IPReversePathFilter, o que aponta para esta configuração.

Verifique no seu computador

Leia o valor atual:

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.default.rp_filter

Aplique à mão

Defina agora (até a próxima reinicialização):

sudo sysctl -w net.ipv4.conf.all.rp_filter=1
sudo sysctl -w net.ipv4.conf.default.rp_filter=1

Mantenha após reinicializações, em um arquivo seu:

sudo tee /etc/sysctl.d/90-net-rp-filter.conf <<'EOF'
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
EOF
sudo sysctl --system

Desfaça

Remova o arquivo e reinicie, ou volte ao valor antigo com sysctl -w.

Configurações relacionadas

• Ignorar e nunca enviar redirecionamentos ICMP
• Recusar pacotes com roteamento pela origem

Fontes

Linux Hardening Guide (madaidans)

2.2.2

Linux kernel documentation

net