只改net.ipv4.conf.all.rp_filter=1不够，因rp_filter是接口级参数，all仅作模板，必须同步设置各外网卡（如eth0）值并验证实时生效，否则伪造包仍可进入。
直接开 net.ipv4.conf.all.rp_filter = 1 不一定生效，必须同步设置具体网卡、验证实际值、并关闭绕过机制，否则伪造包照进不误。
为什么只改 all 不够：rp_filter 是 per-interface 参数
内核对每个接口单独检查 rp_filter 值，all 只是初始模板，不会覆盖已存在的接口配置。比如你改了 net.ipv4.conf.all.rp_filter = 1，但 /proc/sys/net/ipv4/conf/eth0/rp_filter 还是 0，那 eth0 进来的包就完全不校验。
- 必须显式设置对外网卡（如
eth0、ens192）的值，命令形如：echo 1 | sudo tee /proc/sys/net/ipv4/conf/eth0/rp_filter - 查当前所有接口真实值：
find /proc/sys/net/ipv4/conf/*/rp_filter -exec echo {} \; -exec cat {} \; - 云服务器常见陷阱：网卡名可能是
ens5、enp0s3或eth1，别凭经验硬写eth0
strict 模式（=1）还是 loose 模式（=2）？看你的路由是否对称
值为 1 要求“进哪出哪”，值为 2 只要求“能出去就行”。选错会直接断业务，不是安全问题，而是连通性问题。
- 单网关、单出口服务器（如普通 Web/API 服务）：用
1，安全性高，配置简单 - 多网卡、策略路由、BGP/OSPF 环境、或容器宿主机（如 K8s node）：必须用
2，否则非对称流量（如请求走 eth0、响应走 bond0）会被丢弃 - 不确定时先试
2，再观察dmesg | grep "martian"是否还有源地址异常日志
开了 rp_filter 还被伪造包打穿？这些配套参数必须关
rp_filter 只管反向路径，但攻击者可用其他方式绕过——比如用源路由选项伪造路径、或靠 ICMP 重定向篡改路由表，让反向路径“看起来合法”。
- 禁用源路由：
net.ipv4.conf.all.accept_source_route = 0 - 禁用 ICMP 重定向接收：
net.ipv4.conf.all.accept_redirects = 0 - 禁用 ICMP 重定向发送（防被利用作跳板）：
net.ipv4.conf.all.send_redirects = 0 - 如果不需要做路由器，顺手关转发：
net.ipv4.ip_forward = 0 - 以上全写进
/etc/sysctl.d/99-secure.conf，再执行sudo sysctl --system
怎么确认它真在工作？别信配置文件，要看内核实时状态
很多人改完配置就以为万事大吉，结果 sysctl -p 没生效、或某接口被 systemd-networkd 重置，rp_filter 实际仍是 0。
- 验证命令必须跑两遍：
sysctl net.ipv4.conf.all.rp_filter和sysctl net.ipv4.conf.eth0.rp_filter（把 eth0 换成你真实网卡） - 同时检查日志是否记录伪造包：
sudo dmesg -t | grep -i "martian source"，有输出说明rp_filter正在丢包 - 实测伪造：用另一台机器发一个源 IP 为内网段但非本机地址的包（如
hping3 -a 10.0.1.99 -S 192.168.1.10），看目标机是否无响应且dmesg出现 martian 日志
真正难的不是设成 1，而是确保它在所有接口上持续生效、且不和现有网络架构冲突。尤其在云环境或多网卡场景下，rp_filter = 1 很可能比 = 0 更容易引发连接中断——这时候宽松模式 + src_valid_mark 才是更务实的选择。
