ICMP-Redirects ignorieren und nie senden

Warum es wichtig ist

Ein ICMP-Redirect ist die Nachricht eines Routers, für jenes Ziel diesen anderen Router zu benutzen. In einem geteilten WLAN kann ein Angreifer eine gefälschte schicken, sodass Ihr Verkehr über seine Maschine läuft, wo er belauscht oder verändert werden kann. Redirects abzuweisen hält Ihre Routen in Ihrer Hand.

Wie es funktioniert

Setzt accept_redirects und secure_redirects für IPv4 auf 0 und accept_redirects für IPv6 auf 0, in den Schnittstellengruppen all und default. Zudem setzt es send_redirects auf 0, damit dieser Rechner selbst keine Redirects an andere schickt.

Für wen es sich eignet

Richtig für Desktops, Laptops und die meisten Server. Eine Maschine, die als Router dient, möchte Redirects vielleicht weitersenden, und manche kleinen Netze verlassen sich darauf.

Was Sie bemerken könnten

Nichts in gewöhnlichen Netzen. Wenn Ihr Rechner nicht der Router des Netzes ist, merkt niemand den Unterschied, die übrigen Geräte ebenso wenig.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl net.ipv4.conf.all.accept_redirects
sysctl net.ipv4.conf.default.accept_redirects
sysctl net.ipv4.conf.all.secure_redirects
sysctl net.ipv4.conf.default.secure_redirects
sysctl net.ipv6.conf.all.accept_redirects
sysctl net.ipv6.conf.default.accept_redirects
sysctl net.ipv4.conf.all.send_redirects
sysctl net.ipv4.conf.default.send_redirects

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w net.ipv4.conf.all.accept_redirects=0
sudo sysctl -w net.ipv4.conf.default.accept_redirects=0
sudo sysctl -w net.ipv4.conf.all.secure_redirects=0
sudo sysctl -w net.ipv4.conf.default.secure_redirects=0
sudo sysctl -w net.ipv6.conf.all.accept_redirects=0
sudo sysctl -w net.ipv6.conf.default.accept_redirects=0
sudo sysctl -w net.ipv4.conf.all.send_redirects=0
sudo sysctl -w net.ipv4.conf.default.send_redirects=0

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-net-redirects.conf <<'EOF'
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• Pakete mit Quellrouting ablehnen
• Pakete mit gefälschter Absender-Adresse verwerfen
• IPv6-Router-Ankündigungen ignorieren

Quellen

Linux Hardening Guide (madaidans)

2.2.2

ANSSI, Configuration recommendations of a GNU/Linux system (BP-028)

kernel and network settings