iptables本身不能直接防IP欺骗，需依赖内核rp_filter（反向路径检查）和accept_source_route等参数：rp_filter=1为宽松模式，=2为严格模式；accept_source_route=0禁用源路由；再配合iptables封禁私有地址等非法源IP。
iptables 本身不能直接防止 IP 欺骗（如伪造源 IP 发送数据包），它只是包过滤工具，真正起作用的是内核的反欺骗机制——尤其是 rp_filter（Reverse Path Filtering）和 source_route 等参数。iptables 需要与这些内核参数配合使用，才能有效阻断本地网络中常见的 IP 欺骗行为。
启用严格反向路径检查（rp_filter=1 或 2）
rp_filter 是 Linux 内核用于检测 IP 欺骗的核心机制。它检查收到的数据包的源 IP 是否能通过当前接口的路由表“原路返回”：
- rp_filter = 0：关闭检查，完全不防欺骗
- rp_filter = 1（宽松模式）：只要存在任意一条路由能到达该源 IP，就接受包（默认常用）
- rp_filter = 2（严格模式）：必须能通过**接收该包的同一接口**返回源 IP，否则丢弃（更安全，但可能影响非对称路由环境）
设置方式（以 eth0 为例）：
echo 1 > /proc/sys/net/ipv4/conf/eth0/rp_filterecho 1 > /proc/sys/net/ipv4/conf/all/rp_filter
建议生产环境至少设为 1，并在 all 和具体接口上统一启用；若网络存在明确非对称路由，可单独调低特定接口的值，保留 all=1 做兜底。
禁用 IPv4 源路由选项（accept_source_route=0）
IP 源路由（Source Routing）允许发送方指定数据包经过的中间节点，攻击者可借此绕过防火墙或伪装路径。Linux 默认已禁用，但仍需确认：
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_routeecho 0 > /proc/sys/net/ipv4/conf/eth0/accept_source_route
该参数设为 0 后，内核会直接丢弃含源路由选项的 IP 包，无需 iptables 参与——这是比规则匹配更早、更底层的拦截。
配合 iptables 封禁明显非法源地址
内核参数解决通用路径欺骗，iptables 则可补充过滤明确不可路由的地址段。例如，在 INPUT 或 FORWARD 链中添加：
iptables -A INPUT -s 127.0.0.0/8 -j DROPiptables -A INPUT -s 10.0.0.0/8 -j DROP
iptables -A INPUT -s 172.16.0.0/12 -j DROP
iptables -A INPUT -s 192.168.0.0/16 -j DROP
iptables -A INPUT -s 224.0.0.0/4 -j DROP
iptables -A INPUT -s 0.0.0.0/8 -j DROP
iptables -A INPUT -s 240.0.0.0/5 -j DROP
注意：仅对**外部接口入向流量**应用上述规则（如 eth0），避免误杀本机内网通信；同时确保这些地址段确实不会合法出现在外部流量中。
验证与持久化
检查当前生效值：
sysctl net.ipv4.conf.all.rp_filtersysctl net.ipv4.conf.eth0.accept_source_route
使配置重启后仍有效，需写入 /etc/sysctl.conf：
net.ipv4.conf.all.rp_filter = 1net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.rp_filter = 1
然后执行 sysctl -p 加载。iptables 规则建议通过 iptables-save + systemd service 或网络脚本固化。
