arp_ignore=1与arp_filter=1之争

秋千无闻

已于 2023-10-19 09:44:15 修改

阅读量289

点赞数

文章标签：网络

于 2023-10-18 10:34:44 首次发布

本文链接：https://blog.youkuaiyun.com/qq_20679687/article/details/133898992

版权

文章比较了arp_ignore=1和arp_filter=1两种内核网络配置，arp_ignore更适用于解决多网卡同子网IP的arp响应问题，因为它开销小且能按网卡响应。arp_filter主要用于安全防护，如过滤攻击性arp报文。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

众所周知，内核网络配置参数arp_ignore=1可实现与arp_filter=1一样的功能，都能解决多网卡同子网ip时的多次arp响应问题。那么到底应该使用哪个配置呢？

结论

使用arp_ignore=1。 arp_filter=1主要用来防攻击，比如可过滤sip不规范的arp报文，如跨网段的arp报文。

原因

arp_ignore=1开销小，可实现各网卡响应各自ip的arp请求。
arp_filter=1开销大一些（查路由表），且只解决重复arp响应问题，难以实现各网卡响应各自ip的arp请求。虽在同子网多网卡场景生效，但固定一个网卡响应arp请求，因路由结果。要实现各网卡响应各自ip的arp请求，需深度配置route路由表，配合ip rule使用，参考linux - 2 NICs 2 IPS same subnet - Server Fault。

arp_filter=1含义：sip的路由出口为本网卡才进一步处理。arp_filter是源地址校验，是rp_filter的arp版本的补充。
arp_ignore=1含义：dip为本网卡ip才响应。

内核代码分析

// arp_ignore
static int arp_ignore(struct in_device *in_dev, __be32 sip, __be32 tip) {
    ...
    return !inet_confirm_addr(in_dev, sip, tip, scope);  // 这里只要dip是否是网卡ip
}

// arp_filter
static int arp_filter(__be32 sip, __be32 tip, struct net_device *dev)
	rt = ip_route_output(net, sip, tip, 0, 0);  // 查路由