反向路径过滤（rp_filter）防源地址欺骗

rp_filter 校验入包源地址在路由表中的可达性，缓解 IP 欺骗与部分环路问题；CIS 建议 all 与 default 均启用严格模式（1）。

加固项	源地址欺骗缓解
适用平台	Linux（RHEL/CentOS/Debian/Ubuntu）
风险等级	中
基线	net.ipv4.conf.all.rp_filter = 1；default.rp_filter = 1

核查

sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.default.rp_filter
sysctl -a --pattern 'net.ipv4.conf.*.rp_filter' | head -20

cat >> /etc/sysctl.d/99-hardening.conf <<'EOF'
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
EOF
sysctl --system

非对称路由（多上行、LVS DR 等）下严格模式可能丢包；改动前确认拓扑，必要时用宽松模式 2 而非关闭（0）。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌