必须显式关闭accept_source_route以防御IP欺骗：设为0后内核在网络栈入口直接丢弃源路由包，不进iptables、不耗资源；需同时配置all和default接口，并配合rp_filter、禁ICMP重定向等形成纵深防御。

关闭源路由选项是防御网络层IP伪造和欺骗攻击最基础、最有效的内核级措施。它不是靠防火墙过滤，而是在协议栈入口就丢弃含源路由选项的IPv4包，从源头切断攻击路径。

为什么必须显式关闭 accept_source_route

源路由（Source Routing）允许发送方在IP头中指定数据包的转发路径，攻击者可借此绕过防火墙、伪装私有地址发起反射探测，甚至构造中间人跳转。虽然多数Linux发行版默认设为0，但容器环境、定制镜像或老旧系统可能开启，不能依赖默认值。

关键点在于：该参数设为0后，内核在网络层最前端直接丢包，不进iptables、不触发日志、不消耗连接跟踪资源——这是其他手段无法替代的底层防护。

正确配置 all 和 default 接口策略

仅设置 all 不足以覆盖所有场景；若未同步配置 default，新创建的接口（如Docker网桥、Kubernetes CNI接口）可能沿用默认开启行为。

• 临时生效（重启失效）：
  sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0
• 永久生效（推荐写入独立文件）：
  echo "net.ipv4.conf.all.accept_source_route = 0" | sudo tee /etc/sysctl.d/99-secure.conf
echo "net.ipv4.conf.default.accept_source_route = 0" | sudo tee -a /etc/sysctl.d/99-secure.conf
• 加载配置：
  sudo sysctl -p /etc/sysctl.d/99-secure.conf

配套加固不可省略

单关源路由只是第一道门，还需组合其他内核参数形成纵深防御：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

• 启用反向路径过滤：net.ipv4.conf.all.rp_filter = 1（严格模式）或 = 2（宽松模式，适合多宿主或云环境）
• 禁用ICMP重定向：net.ipv4.conf.all.accept_redirects = 0 和 net.ipv4.conf.all.send_redirects = 0
• 关闭IP转发（除非是路由器）：net.ipv4.ip_forward = 0
• 刷新路由缓存确保即时生效：sudo sysctl -w net.ipv4.route.flush=1

验证是否真正生效

执行以下命令确认返回值均为0：

sysctl net.ipv4.conf.all.accept_source_route net.ipv4.conf.default.accept_source_route

也可直接读取：

cat /proc/sys/net/ipv4/conf/all/accept_source_route
cat /proc/sys/net/ipv4/conf/default/accept_source_route

若业务出现异常（如部分内网通信失败），优先排查 rp_filter = 1 是否误阻合法多路径流量——此时可改用 = 2 并配合 src_valid_mark = 1 精准控制。