双宿主主机是连接多网络并承担路由/防火墙功能的服务器，须默认禁用IP转发、严格配置状态化包过滤、实施接口级策略隔离、启用反向路径过滤、记录转发日志并禁用非必要服务。
双宿主主机（Dual-Homed Host）在Linux中通常指同时连接两个及以上网络（如内网与外网）并承担路由/防火墙功能的服务器。其核心安全逻辑在于：默认禁止IP转发，仅在明确策略控制下启用，并配合严格的状态化包过滤（如iptables/nftables）实现“非必要不转发”。配置不当极易导致网络跳板、横向渗透或数据泄露。
确认并显式控制IP转发开关
Linux内核默认关闭IPv4转发，但某些发行版或云镜像可能开启。必须显式审计并锁定行为：
- 检查当前状态：
sysctl net.ipv4.ip_forward（返回0为禁用，1为启用） - 临时禁用：
sudo sysctl -w net.ipv4.ip_forward=0 - 永久禁用（推荐默认）：在
/etc/sysctl.conf或/etc/sysctl.d/99-security.conf中添加net.ipv4.ip_forward = 0，然后运行sudo sysctl -p - 若确需转发（如做NAT网关），仅在启用时同步部署完整防火墙策略，严禁“先开转发、后配规则”
基于连接状态的转发规则最小化设计
转发规则必须遵循“默认拒绝、白名单放行”原则，且只允许已建立或相关连接（ESTABLISHED/RELATED），禁止NEW方向的任意转发：
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 示例（iptables）：仅允许内网主动发起、经由本机转发至外网的响应流量回流
iptables -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPTiptables -A FORWARD -i eth0 -o eth1 -m state --state NEW -j DROP - 禁止跨网段的双向任意转发（如内网A→外网B，外网B→内网A），除非有明确业务需求并单独审批
- 使用
-m conntrack替代老旧-m state（nftables中统一用ct state），提升匹配准确性
接口级策略隔离与反欺骗防护
双宿主主机各网络接口应视为独立安全边界，需分别限制源地址合法性：
- 在INPUT链中丢弃来自外网接口的私有地址（RFC1918）流量，防IP欺骗：
iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j DROPiptables -A INPUT -i eth0 -s 172.16.0.0/12 -j DROPiptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP - 对内网接口（eth1）可放宽但须限制管理端口（如SSH仅允特定IP段）：
iptables -A INPUT -i eth1 -p tcp --dport 22 -s 192.168.10.0/24 -j ACCEPTiptables -A INPUT -i eth1 -p tcp --dport 22 -j DROP - 启用反向路径过滤（rp_filter）防止源地址伪造：
在/etc/sysctl.conf中设置net.ipv4.conf.all.rp_filter = 1和net.ipv4.conf.eth0.rp_filter = 1
日志审计与异常转发行为监控
所有被DROP或REJECT的转发包应记录，用于识别扫描、误配或攻击尝试：
- 在FORWARD链顶部添加带限速的日志规则（避免日志风暴）：
iptables -I FORWARD -m limit --limit 5/min -j LOG --log-prefix "FW-DROP: " - 将日志输出到独立文件（如
/var/log/iptables.log），并通过rsyslog或journalctl集中收集 - 定期检查
iptables -L FORWARD -v -n计数器，关注DROP包增长是否突增；结合conntrack -L查看活跃连接，排查异常长连接或高并发新建连接 - 禁用不必要的服务监听（如关闭外网接口上的HTTP、Samba等），减少暴露面
双宿主主机不是简单打开ip_forward就能用的中继设备，而是需要精细策略编排的安全网关。关键不在“能不能转”，而在“谁能在什么条件下、以什么方式转”。每一条转发规则都应有明确业务依据、源目的约束和生命周期管理。
