禁用内核路由转发是防止服务器被滥用为网络跳板最基础有效的手段；需确认并永久关闭IPv4/IPv6转发，配合禁用ICMP重定向、源路由及启用反向路径过滤等加固措施，并验证生效。
禁用内核路由转发是防止服务器被滥用为网络跳板最基础、最有效的手段。只要不主动承担网关或NAT角色，绝大多数服务器（如Web、数据库、应用后端）都应默认关闭该功能——它从协议栈底层切断跨接口转发能力，比防火墙规则更彻底、更轻量。
确认并永久关闭IPv4路由转发
Linux内核默认禁用IPv4转发，但部分云镜像、容器宿主机或曾配置过网关的系统可能已开启。需显式检查并锁定：
- 查看当前状态：
sysctl net.ipv4.ip_forward，返回 0 表示已禁用 - 临时关闭（立即生效，重启失效）：
sudo sysctl -w net.ipv4.ip_forward=0 - 永久关闭：在
/etc/sysctl.conf或/etc/sysctl.d/99-security.conf中添加一行：net.ipv4.ip_forward = 0，然后执行sudo sysctl -p
同步禁用IPv6转发（如无需双栈路由）
若服务器不作为IPv6网关，也应关闭IPv6转发，避免被绕过：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 添加配置：
net.ipv6.conf.all.forwarding = 0和net.ipv6.conf.default.forwarding = 0 - 同样执行
sudo sysctl -p生效
配合其他关键内核参数加固
仅关转发还不够。攻击者可能结合ICMP重定向、源路由等机制诱导流量绕行。建议一并设置：
-
net.ipv4.conf.all.accept_redirects = 0和net.ipv4.conf.default.accept_redirects = 0（拒收重定向报文） -
net.ipv4.conf.all.send_redirects = 0和net.ipv4.conf.default.send_redirects = 0（禁止本机发送重定向） -
net.ipv4.conf.all.accept_source_route = 0（禁用源路由选项，防IP欺骗） -
net.ipv4.conf.all.rp_filter = 1（启用反向路径过滤，验证入向包源地址合法性）
验证是否真正生效
完成配置后，务必验证：
- 再次运行
sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding，确认均为 0 - 从另一台机器尝试通过该服务器 ping 或 telnet 其他内网地址（需有测试环境），应不通
- 检查
iptables -L FORWARD -n，若未额外配置FORWARD链，其策略应为 ACCEPT，但因内核不转发，实际无流量经过——这是预期行为；若你已设为 DROP，属冗余但无害
