Linux Centos7禁止转发ICMP重定向报文

加固建议: 在 /etc/sysctl.conf 或 /etc/sysctl.d/* 文件中设置以下参数: 

net.ipv4.conf.all.send_redirects = 0

net.ipv4.conf.default.send_redirects = 0 

运行以下命令来设置活动的内核参数: 

$ sysctl -w net.ipv4.conf.all.send_redirects=0 

$ sysctl -w net.ipv4.conf.default.send_redirects=0 

$ sysctl -w net.ipv4.route.flush=1

执行sysctl -w net.ipv4.conf.all.accept_redirects=0,

再查看/etc/sysctl.conf中是否存在net.ipv4.conf.all.accept_redirects=0,不存在则添加


或者用下面的方法

# vim /etc/sysctl.conf 
net.ipv4.conf.eth0.accept_redirects = 0 
net.ipv4.conf.eth1.accept_redirects = 0 
net.ipv4.conf.lo.accept_redirects = 0 
net.ipv4.conf.default.accept_redirects = 0 
net.ipv4.conf.all.accept_redirects = 0 
# sysctl -p


ICMP重定向报文类型有:

代码描述 

0网络重定向 

1主机重定向 

2服务类型和网络重定向 

3服务类型和主机重定向 



代码 描述0 网络重定向1 主机重定向2 服务类型和网络重定向3 服务类型和主机重定向 

ICMP重定向报文的接收者必须查看三个IP 地址

1). 导致重定向的IP地址,即ICMP重定向报文的数据位于IP数据报的首部

2). 发送重定向报文的路由器的IP地址,包含重定向信息的IP数据报中的源地址

3). 应该采用的路由器IP地址, 在ICMP报文中的4~7字节


发生ICMP重定向报文的必要条件:

1). 出接口必须等于入接口

2). 用于向外传送数据报的路由不能被ICMP重定向报文创建或修改过, 而且不能是路由器的默认路由

3). 数据报不能用源站选路来转发

4). 内核必须配置成可以发送重定向报文


Tags linux

留言(0)

评论