Linux禁止ping的核心是让系统不响应ICMP Echo Request（类型8）报文，主要通过两种方式：一、修改内核参数，临时执行echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all，永久则在/etc/sysctl.conf中添加net.ipv4.icmp_echo_ignore_all = 1并运行sysctl -p；二、用iptables或firewalld拦截，如iptables -A INPUT -p icmp --icmp-type echo-request -j DROP或firewall-cmd --add-icmp-block=echo-request --permanent后重载。
Linux 禁止通过 ping 探测主机，核心是让系统不响应 ICMP Echo Request（类型 8）报文。这不是“屏蔽 ping 命令本身”，而是让服务器对来自外部的 ping 请求沉默——别人发来探测包，你既不回 echo-reply，也不提示任何错误。实际生效方式有两种主流路径：内核参数控制和防火墙规则拦截，二者可单独使用，也可叠加，但内核级禁用优先级更高。
修改内核参数（推荐首选）
这是最直接、开销最小的方式，本质是让内核协议栈主动忽略所有入站 ping 请求。
- 临时生效（重启后失效）：运行
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all - 验证是否启用：执行
cat /proc/sys/net/ipv4/icmp_echo_ignore_all，返回 1 即成功 - 恢复响应：改写为
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all - 永久生效：在
/etc/sysctl.conf文件末尾添加一行net.ipv4.icmp_echo_ignore_all = 1，然后执行sudo sysctl -p加载
用 iptables 或 firewalld 拦截 ICMP 请求
适用于需要更精细控制的场景，比如只禁特定网段的 ping，或保留部分 ICMP 功能（如 traceroute 所需的 time-exceeded）。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
iptables 方式：执行
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP；保存规则（Ubuntu/Debian）：sudo iptables-save > /etc/iptables/rules.v4 -
firewalld 方式（RHEL/CentOS/Fedora）：运行
sudo firewall-cmd --add-icmp-block=echo-request --permanent，再执行sudo firewall-cmd --reload - 注意：若同时启用内核禁 ping 和防火墙规则，内核设置会先于防火墙生效，防火墙规则不会触发
区分禁 ping 与禁全部 ICMP
仅禁 ping 不等于关闭所有 ICMP。ICMP 还包含网络诊断必需的报文，如 destination-unreachable、time-exceeded（traceroute 依赖）、redirect 等。盲目禁用整个 ICMP 可能导致路径 MTU 发现失败、路由异常或监控告警失真。
- ✅ 正确做法：只阻断
echo-request（类型 8），保留其他 ICMP 类型 - ❌ 避免做法：用
--icmp-type any或全局丢弃 ICMP，除非有明确安全策略要求 - 可检查当前 ICMP 类型支持：
cat /usr/include/asm-generic/icmp.h | grep -i "echo\|type"
云主机环境特别提醒
公有云平台（如阿里云、腾讯云、AWS）的底层网络通常已默认过滤部分 ICMP 流量，且安全组规则优先于系统内配置。务必先确认：
- 云控制台中安全组是否放行了 ICMP 协议（尤其是 IPv4 的 “All ICMP” 或 “Echo Request”）
- 即使系统内禁 ping 成功，若安全组允许 ICMP，外网仍可能收到响应（取决于厂商实现）
- 建议组合使用：云平台安全组限制 + 系统内核参数双重防护
