新手应重点监控/proc/sys/net/ipv4下高危参数是否被异常开启：net.ipv4.ip_forward、conf.all.forwarding、send_redirects、accept_redirects等，通过auditd或inotifywait捕获写入行为，并比对运行时值与配置文件差异，结合tcpdump、ss等工具验证实际网络行为。
新手排查 /proc/sys/net 下被恶意篡改的网络监听参数，核心是识别“本该关闭却意外开启”或“本该限制却异常放宽”的关键开关——这些参数不记录在常规日志里，但会直接导致容器失联、端口暴露、转发失控等故障。重点不是翻文件，而是比对预期值、追踪修改源头、验证运行时行为。
盯住几个高危参数是否被悄悄打开
以下参数一旦被设为 1（启用），就可能绕过防火墙、开启隐蔽通道或破坏网络隔离：
-
net.ipv4.ip_forward：应为
0（禁用）；若为1，说明系统可能被当作跳板或导致容器间路由异常 - net.ipv4.conf.all.forwarding 和 net.ipv4.conf.eth0.forwarding：需与 ip_forward 一致，且各接口级设置不能单独开启
-
net.ipv4.conf.all.send_redirects：应为
0；开启后可能被用于中间人攻击 -
net.ipv4.conf.all.accept_redirects：必须为
0；否则攻击者可伪造 ICMP 重定向劫持流量 -
net.ipv4.tcp_syncookies：应为
1（开启）；关闭可能加剧 SYN Flood 攻击影响
快速检查命令：
cat /proc/sys/net/ipv4/ip_forward /proc/sys/net/ipv4/conf/all/forwarding /proc/sys/net/ipv4/conf/all/send_redirects
确认参数是否被动态写入而非配置文件固化
很多篡改发生在运行时，而非通过 /etc/sysctl.conf。即使配置文件没改，参数也可能被脚本或恶意进程实时覆盖：
- 运行 sudo sysctl -a | grep 'net\.ipv4.*forward\|send_redirects'，看输出值是否与
/proc/sys/下一致 - 对比 grep -v '^#' /etc/sysctl.conf /etc/sysctl.d/*.conf 2>/dev/null | grep -i 'forward\|redirect'，确认配置文件中无显式启用项
- 若
/proc/sys/值异常但配置文件干净，说明是运行时写入，需进一步监控来源
用 auditd 或 inotifywait 锁定谁改了它
参数被改后不留操作痕迹，必须提前或实时捕获写入动作：
- 用 auditctl -w /proc/sys/net/ipv4/ip_forward -p w -k net_forward 添加审计规则
- 触发一次修改：echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward >/dev/null
- 立即查日志：sudo ausearch -k net_forward | aureport -i -f，输出会显示具体进程名、PID、UID 和时间
- 若无法用 auditd，可用 inotifywait -m -e modify /proc/sys/net/ipv4/ip_forward 搭配简单告警脚本实现秒级响应
结合网络行为反向验证参数是否生效
光看值不够，要确认它真正在起作用。例如：
- 若
ip_forward=1，但ss -tunlp | grep ':22'显示某 SSH 服务只监听127.0.0.1:22，说明转发并未实际启用，可能是其他策略（如 iptables）拦截了 - 若
accept_redirects=1，可用 tcpdump -i eth0 icmp 抓包，看是否有来自非网关的 ICMP 重定向报文进入 - 对可疑主机发起连接测试，观察是否出现非预期的跨网段响应，可佐证转发或重定向是否真实生效
