Pakete mit Quellrouting ablehnen

Warum es wichtig ist

Source routing lässt dem Absender eines Pakets den Weg diktieren. Ein Angreifer kann damit Verkehr durch eine von ihm kontrollierte Maschine ziehen oder Regeln umgehen, die darauf beruhen, woher Pakete erwartet werden. Fast kein legitimes Netz nutzt es heute.

Wie es funktioniert

Setzt accept_source_route für IPv4 und IPv6 in den Schnittstellengruppen all und default auf 0. Pakete, die ihre eigene Route mitführen, werden dann verworfen.

Für wen es sich eignet

Für praktisch jeden geeignet. Nur für Netztests oder Labore ausschalten, die bewusst Route-vorbestimmte Pakete nutzen.

Was Sie bemerken könnten

In gewöhnlichen Netzen nichts. Nur besondere Diagnosewerkzeuge, die Source routing nutzen, sind betroffen.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl net.ipv4.conf.all.accept_source_route
sysctl net.ipv4.conf.default.accept_source_route
sysctl net.ipv6.conf.all.accept_source_route
sysctl net.ipv6.conf.default.accept_source_route

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0
sudo sysctl -w net.ipv6.conf.all.accept_source_route=0
sudo sysctl -w net.ipv6.conf.default.accept_source_route=0

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-net-source-routing.conf <<'EOF'
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• ICMP-Redirects ignorieren und nie senden
• Pakete mit gefälschter Absender-Adresse verwerfen

Quellen

Linux Hardening Guide (madaidans)

2.2.2

ANSSI, Configuration recommendations of a GNU/Linux system (BP-028)

kernel and network settings