Descartar paquetes con dirección de origen falsificada

Riesgo medio No marcado por defecto Catálogo revisado: 2026-11-05

Comprueba que un paquete pudo llegar realmente por el enlace por el que entró, lo que impide la suplantación de direcciones.

Por qué importa

Los atacantes suelen poner una dirección de remitente falsa en los paquetes, sea para ocultarse, sea para hacerse pasar por una máquina de confianza. El filtro de camino inverso comprueba si una respuesta a esa dirección saldría por el mismo enlace por el que llegó el paquete. Si no saldría, el paquete se descarta.

Cómo funciona

Pone net.ipv4.conf.all.rp_filter y net.ipv4.conf.default.rp_filter en 1, el modo estricto. Un paquete solo se acepta si la mejor ruta de vuelta a su origen pasa por la interfaz por la que entró.

Quién debería usarlo

Bueno para equipos con una sola conexión y servidores sencillos. Déjalo apagado, o usa el modo flexible (2), en máquinas con varios enlaces, enrutado por políticas o algunas configuraciones de VPN.

Qué puedes notar

Conexiones que funcionan por un camino de red fallan por otro, o una VPN deja de pasar tráfico. Los paquetes descartados los cuenta nstat como IPReversePathFilter, lo que señala este ajuste.

Compruébalo en tu equipo

Lee el valor actual:

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.default.rp_filter

Aplícalo a mano

Establécelo ahora (hasta el próximo reinicio):

sudo sysctl -w net.ipv4.conf.all.rp_filter=1
sudo sysctl -w net.ipv4.conf.default.rp_filter=1

Consérvalo tras los reinicios, en un archivo tuyo:

sudo tee /etc/sysctl.d/90-net-rp-filter.conf <<'EOF'
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
EOF
sudo sysctl --system

Deshazlo

Elimina el archivo y reinicia, o vuelve a poner el valor anterior con sysctl -w.

Ajustes relacionados

Fuentes

Linux Hardening Guide (madaidans): 2.2.2
Linux kernel documentation: net