10、Linux 防火墙与无线接入点搭建全攻略

Linux 防火墙与无线接入点搭建全攻略

1. 单主机防火墙设置

在设置单主机防火墙时，我们需要对一些内核参数进行调整，以增强系统的安全性。以下是一些关键的参数设置及其原因：
- net.ipv4.conf.all.send_redirects = 0 ：只有路由器才需要这个功能，所以其他设备可以将其关闭。
- net.ipv4.conf.all.accept_redirects = 0 ：ICMP 重定向对路由器很重要，但会给服务器和工作站带来安全问题，因此关闭它。
- net.ipv4.conf.all.accept_source_route = 0 ：源路由数据包存在安全风险，因为它们很容易伪造可信地址。其合法用途很少，最初是作为路由调试工具，但恶意用途远远超过了合法用途。

通常，我们可以在 iptables 脚本中设置这些内核参数，例如：

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route

不过，也可以使用 sysctl 来控制这些选项，因为这正是它的设计用途，而且它独立于防火墙运行。在命令行使用 echo