Rechazar paquetes con enrutamiento de origen

Por qué importa

El source routing permite a quien envía un paquete dictar el camino que sigue. Un atacante puede usarlo para atraer tráfico hacia una máquina que controla, o para saltarse reglas que dependen de dónde se espera que lleguen los paquetes. Casi ninguna red legítima lo usa hoy.

Cómo funciona

Pone accept_source_route en 0 para IPv4 e IPv6 en los grupos de interfaces all y default. Los paquetes que llevan su propia ruta pasan a descartarse.

Quién debería usarlo

Apto para prácticamente todos. Déjalo apagado solo en pruebas de red o laboratorios que usen paquetes source-routed a propósito.

Qué puedes notar

Nada en redes normales. Solo se ven afectadas herramientas de diagnóstico especiales que usan source routing.

Compruébalo en tu equipo

Lee el valor actual:

sysctl net.ipv4.conf.all.accept_source_route
sysctl net.ipv4.conf.default.accept_source_route
sysctl net.ipv6.conf.all.accept_source_route
sysctl net.ipv6.conf.default.accept_source_route

Aplícalo a mano

Establécelo ahora (hasta el próximo reinicio):

sudo sysctl -w net.ipv4.conf.all.accept_source_route=0
sudo sysctl -w net.ipv4.conf.default.accept_source_route=0
sudo sysctl -w net.ipv6.conf.all.accept_source_route=0
sudo sysctl -w net.ipv6.conf.default.accept_source_route=0

Consérvalo tras los reinicios, en un archivo tuyo:

sudo tee /etc/sysctl.d/90-net-source-routing.conf <<'EOF'
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
EOF
sudo sysctl --system

Deshazlo

Elimina el archivo y reinicia, o vuelve a poner el valor anterior con sysctl -w.

Ajustes relacionados

• Ignorar y no enviar nunca redirecciones ICMP
• Descartar paquetes con dirección de origen falsificada

Fuentes

Linux Hardening Guide (madaidans)

2.2.2

ANSSI, Configuration recommendations of a GNU/Linux system (BP-028)

kernel and network settings