禁用 net.ipv4.ip_forward 是防止 Linux 主机被滥用于非法流量转发最基础、最关键的一步，需通过 sysctl 临时关闭并写入 /etc/sysctl.conf 永久固化为 0，同时设 iptables FORWARD 链默认 DROP，确保内核层与防火墙层双重阻断跨接口转发。
禁用 net.ipv4.ip_forward 是防止 Linux 主机被滥用于非法流量转发（即充当跳板或中间人）最基础、最关键的一步。它不依赖防火墙规则，而是从内核协议栈层面切断 IPv4 数据包跨接口转发的能力，适用于绝大多数非网关角色的服务器。
确认当前转发状态并临时关闭
先检查是否已启用：
sysctl net.ipv4.ip_forward
返回 1 表示开启，0 表示关闭。若为 1，立即临时禁用：
sudo sysctl -w net.ipv4.ip_forward=0
该命令即时生效，但重启后会恢复原值。
永久禁用并确保配置固化
编辑 /etc/sysctl.conf 或新建 /etc/sysctl.d/99-disable-forward.conf，添加一行：
net.ipv4.ip_forward = 0
然后加载配置：
sudo sysctl -p
系统会读取所有 .conf 和 .d/ 下的配置文件，使设置持久化。
配合 FORWARD 链策略强化防护
即使 ip_forward=0，仍建议同步清理或锁定 iptables 的 FORWARD 链，避免未来误启后规则失效：
- 查看当前 FORWARD 规则：
sudo iptables -nL FORWARD
- 若存在放行规则，可清空并设为默认拒绝（仅当确认无需转发时）：
sudo iptables -P FORWARD DROP sudo iptables -F FORWARD
注意：此操作不影响本机
INPUT/OUTPUT流量，只控制“经过本机但目标非本机”的数据包。
验证是否真正生效
- 再次运行
sysctl net.ipv4.ip_forward，确认输出为0； - 尝试从一台机器 ping 另一台不同网段且不直连的主机（经由该 Linux 主机），应完全不通；
- 若有业务明确需要转发（如 NAT 网关），必须单独审批，并严格配套
iptables/nftables的状态化转发规则，而非仅开ip_forward。
这样配置后，主机就无法再被用作非法流量中转节点，大幅降低被劫持、扫描放大或参与 DDoS 攻击的风险。
