禁用IPv4转发是防范服务器被用作非法跳板最直接有效的内核级措施；需通过sysctl临时关闭并写入/etc/sysctl.d/99-disable-forward.conf永久固化为0，同步关闭IPv6转发，并配置accept_source_route、accept_redirects、send_redirects和rp_filter等参数形成纵深防御。

禁用 IPv4 转发是防范服务器被用作非法跳板、阻止路由欺骗最直接有效的内核级措施。它不是靠防火墙拦截，而是从协议栈底层切断跨接口转发能力——只要 net.ipv4.ip_forward = 0，哪怕 iptables 规则放行，数据包也根本不会进入 FORWARD 链。

确认并永久关闭 IPv4 转发
先检查当前状态：

sysctl net.ipv4.ip_forward

返回 0 表示已禁用；若为 1，说明转发开启，需立即处理。

临时关闭（即时生效，重启失效）：

sudo sysctl -w net.ipv4.ip_forward=0

永久固化（推荐写入独立配置文件，避免覆盖）：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

echo "net.ipv4.ip_forward = 0" | sudo tee /etc/sysctl.d/99-disable-forward.conf
sudo sysctl --system

该命令会加载 /etc/sysctl.d/ 下所有 .conf 文件，比 sysctl -p 更可靠，尤其在 systemd 环境下。

同步加固 IPv6 转发（防绕过）
即使业务不用 IPv6，也应显式关闭，避免攻击者利用双栈特性绕过防护：

echo "net.ipv6.conf.all.forwarding = 0" | sudo tee -a /etc/sysctl.d/99-disable-forward.conf
echo "net.ipv6.conf.default.forwarding = 0" | sudo tee -a /etc/sysctl.d/99-disable-forward.conf
sudo sysctl --system

配合关键参数形成纵深防御
仅关转发不够，攻击者可能结合源路由、ICMP 重定向等机制诱导流量。必须一并设置：

• 禁用源路由（防路径伪造）：net.ipv4.conf.all.accept_source_route = 0
• 关闭 ICMP 重定向收发（防路由表污染）：net.ipv4.conf.all.accept_redirects = 0 和 net.ipv4.conf.all.send_redirects = 0
• 启用反向路径过滤（防 IP 欺骗）：net.ipv4.conf.all.rp_filter = 1（单出口推荐）或 = 2（多网卡/云环境）

这些参数统一写入同一配置文件（如 /etc/sysctl.d/99-secure.conf），再执行 sudo sysctl --system 一次性加载。

验证是否真正生效
运行以下命令，确认全部输出为 0 或对应安全值：

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding \
      net.ipv4.conf.all.accept_source_route \
      net.ipv4.conf.all.accept_redirects net.ipv4.conf.all.send_redirects \
      net.ipv4.conf.all.rp_filter

再从另一台机器尝试通过该服务器访问非直连网段的主机，应完全不通——这才是内核层防护到位的表现。