Recusar pacotes com roteamento pela origem

Por que importa

Source routing deixa quem envia um pacote ditar o caminho que ele segue. Um atacante pode usá-lo para puxar tráfego por uma máquina que controla, ou para contornar regras que dependem de onde se espera que os pacotes cheguem. Quase nenhuma rede legítima usa isso hoje.

Como funciona

Define accept_source_route como 0 para IPv4 e IPv6 nos grupos de interface all e default. Pacotes que carregam a própria rota passam a ser descartados.

Quem deve usar

Serve para praticamente todos. Deixe desligado só em testes de rede ou laboratórios que usam pacotes source-routed de propósito.

O que você pode notar

Nada em redes comuns. Só ferramentas de diagnóstico especiais que usam source routing são afetadas.

Verifique no seu computador

Leia o valor atual:

sysctl net.ipv4.conf.all.accept_source_route
sysctl net.ipv4.conf.default.accept_source_route
sysctl net.ipv6.conf.all.accept_source_route
sysctl net.ipv6.conf.default.accept_source_route

Aplique à mão

Defina agora (até a próxima reinicialização):

sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0
sudo sysctl -w net.ipv6.conf.all.accept_source_route=0
sudo sysctl -w net.ipv6.conf.default.accept_source_route=0

Mantenha após reinicializações, em um arquivo seu:

sudo tee /etc/sysctl.d/90-net-source-routing.conf <<'EOF'
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
EOF
sudo sysctl --system

Desfaça

Remova o arquivo e reinicie, ou volte ao valor antigo com sysctl -w.

Configurações relacionadas

• Ignorar e nunca enviar redirecionamentos ICMP
• Descartar pacotes com endereço de origem forjado

Fontes

Linux Hardening Guide (madaidans)

2.2.2

ANSSI, Configuration recommendations of a GNU/Linux system (BP-028)

kernel and network settings