Linux内核TCP/IP安全加固需精准施策：启用tcp_syncookies=1防SYN Flood、rp_filter=1防IP欺骗、icmp_echo_ignore_broadcasts=1防Smurf攻击；禁用ip_forward和accept_redirects可阻断跳板与路由劫持，而tcp_timestamps=0可规避NAT场景RST风险。
Linux内核的TCP/IP协议栈默认配置偏重兼容性与通用性，安全性不是首要目标。直接启用全部“加固”参数反而可能引发连接失败、握手超时或NAT环境下的通信异常——真正的加固是针对性关闭攻击面，而非堆砌开关。
哪些参数改了真能防常见网络层攻击
SYN Flood、IP分片滥用、ICMP泛洪等攻击在生产环境中仍有实际发生。以下三个参数调整有明确防御效果，且副作用可控：
-
net.ipv4.tcp_syncookies=1：仅当tcp_max_syn_backlog溢出时才启用cookie机制，不消耗额外CPU，对正常连接无影响 -
net.ipv4.conf.all.rp_filter=1（配合net.ipv4.conf.default.rp_filter=1）：启用反向路径过滤，可拦截源IP伪造包，但要求路由对称；多网卡或策略路由场景需设为2（松散模式） -
net.ipv4.icmp_echo_ignore_broadcasts=1：禁用对广播ICMP的响应，防止Smurf攻击，不影响单播ping
注意：net.ipv4.tcp_tw_recycle已从内核4.12起彻底移除，任何文档还推荐它，说明内容过时；rp_filter=1在云主机或容器网络中常因BGP/Anycast导致误丢包，务必先验证路由对称性。
为什么不能盲目开tcp_timestamps和tcp_window_scaling
这两个参数本身不危险，但组合使用会暴露系统启动时间，并在NAT后端造成连接复位（RST）：
-
tcp_timestamps=1让每个TCP包携带32位时间戳，攻击者可通过差值估算系统uptime，辅助推测内核版本或服务启动顺序 - 当客户端处于NAT后（如家庭宽带、K8s NodePort），多个设备共用同一出口IP，
tcp_timestamps会导致服务端误判时间戳回绕，主动发送RST中断连接 -
tcp_window_scaling=1必须依赖tcp_timestamps才能协商成功（RFC 1323），所以关掉前者，后者也自动失效
结论：公网-facing服务建议保持tcp_timestamps=0；若需大窗口（如跨洲专线），应确保客户端无NAT或使用tcp_rmem手动调大缓冲区，而非强依赖窗口缩放。
限制IP分片与ICMP重定向的实际作用
分片和ICMP重定向是协议设计中的“便利功能”，却是现代网络攻击链的常见跳板：
-
net.ipv4.ip_forward=0：非路由器设备必须关闭IP转发，否则可能被用作跳板机；即使没配路由表，内核仍会尝试转发 -
net.ipv4.conf.all.accept_redirects=0：禁用ICMP重定向，防止中间人篡改客户端路由表（尤其在共享网络如酒店Wi-Fi） -
net.ipv4.ipfrag_high_thresh=262144和net.ipv4.ipfrag_low_thresh=196608：降低分片重组内存阈值，避免攻击者发送大量畸形分片耗尽内存；但设置过低（如
关键点：这些参数不提供“银弹式防护”，而是缩小攻击面。真正有效的防御仍需结合防火墙（iptables/nftables）、eBPF过滤及应用层认证。
最易被忽略的是参数生效范围——net.ipv4.conf.all.xxx只控制全局默认行为，net.ipv4.conf.eth0.xxx才作用于具体接口。很多加固脚本漏写接口级配置，导致在bonding或多网卡场景下失效。
