最近都在跟網路通靈，不免最後又來跟 rp_filter 打交道，因此今天這篇文章來幫大家複習一下 rp_filter 這個系統參數
設定位置: /proc/sys/net/ipv4/conf/$iface/rp_filter
介紹:
rp_filter 全名為 Reverse Path Filtering，是一個 Linux Kernel 用來過濾封包的機制。當封包到達一個網卡時， kernel 會根據該封包的 source IP 去進行反向(Reverse Path)檢查，當系統檢查當前的 routing table 確認該 source IP 是可以轉發的，且轉發出去的網卡與收到的網卡是一致時，封包就可以正確地接收，反之則會丟棄。
目前常見系統上 rp_filter 有三種數值可以設定
0: 請關閉 rp_filter 的功能，請不要對封包的來源進行檢查，一切都收起來。
1: 如前段所述，嚴格的針對 source IP 進行反向查找
2: (1)的不嚴格版本，一樣會對 source IP 進行反向查找，但是反向的網卡不需要與收到的網卡一致，只要確認該封包可以出去即可
大部分的情況下不建議關閉 rp_filter， rp_filter 可以用來驗證 source IP 是否合法，對於抵擋 Spoffing IP 這類型的攻擊可以起到一定的效用。
此外如果有安裝 Calico CNI 的也要注意一下這個設定，因為這種基於 routing 的 CNI 解決方式很容易會因為 rp_fitler 導致功能不正常。
https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/
routing table設定 在 [問答] Windows 7 routing table 設定- 看板Network - 批踢踢實業坊 的推薦與評價
小弟公司配的電腦從XP變成Win 7了
公司的電腦有LDAP跟Intranet.
分別是10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16.
而另外因為經常性的需要查詢資料要連到外網
因此一直以來都有寫一個批次檔設定routing table.
route -f
route add -p 0.0.0.0 mask 0.0.0.0 gateway1
route add -p 10.0.0.0 mask 255.0.0.0 gateway2
route add -p 172.16.0.0 mask 255.254.0.0 gateway2
route add -p 192.168.0.0 mask 255.255.0.0 gateway2
gateway1為連外網用 無線網路 用個人的3G
gateway2為連內網用 有線網路 LDAP
在XP下一直沒遇到啥問題.
但是換成win 7之後
跑以上的批次檔會造成內外都連不上.
後來是有修改成以下的設定
route -f
route add -p 0.0.0.0 mask 0.0.0.0 gateway1 if 13
route add -p 10.0.0.0 mask 255.0.0.0 gateway2 if 12
route add -p 172.16.0.0 mask 255.254.0.0 gateway2 if 12
route add -p 192.168.0.0 mask 255.255.0.0 gateway2 if 12
這樣子則網頁可以連上 但是內網時速度很慢 在XP不會有很慢的情形.
但是在10.xx.xx.xx/255.255.254.0這一段的網路則都無法使用
因為這段網路是自家單位一些印表機與檔案伺服器在用的
不知道版上有無先進也有遭遇到相同的情形 同時也有解決的方法呢?
因為連外網其實是不符合公司規定 但是有太多次在找資料時
網站都在公司開放的黑名單當中
基本上也是不怎麼方面請自家的mis協助.
Aug, 12, 2011 updated.
後來在批次檔修改成
route delete 0.0.0.0
route add -p 0.0.0.0 mask 0.0.0.0 gateway1
route add -p 10.0.0.0 mask 255.0.0.0 gateway2
route add -p 172.16.0.0 mask 255.254.0.0 gateway2
route add -p 192.168.0.0 mask 255.255.0.0 gateway2
也就是不下flush command之後就正常了
但是很慢的情形只有在IE8/IE9, 而Chrome正常.~
看起來是IE8(in WIN7), IE9在我的routing rule下
在沒有其它輔助的routing rule會有問題
像是
10.x.x.x mask 255.255.254.0 gateway2
會認不到該連到內網的routing
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 122.117.60.172
※ 編輯: Saren 來自: 122.117.60.172 (08/01 21:29)
... <看更多>