Rejeter les paquets dont l'adresse d'expéditeur est falsifiée

Risque moyen Non coché par défaut Catalogue révisé le: 2026-11-05

Vérifie qu'un paquet a pu réellement arriver par la liaison où il est entré, ce qui empêche l'usurpation d'adresse.

Pourquoi il compte

Les attaquantes mettent souvent une fausse adresse d’expéditeur sur les paquets, pour se cacher ou se faire passer pour une machine de confiance. Le filtrage de chemin inverse vérifie qu’une réponse à cette adresse sortirait par le même lien que celui où le paquet est arrivé. Sinon, le paquet est jeté.

Comment il fonctionne

Met net.ipv4.conf.all.rp_filter et net.ipv4.conf.default.rp_filter à 1, le mode strict. Un paquet n’est accepté que si la meilleure route vers sa source passe par l’interface où il est entré.

À qui il s'adresse

Bien pour les machines à une seule connexion et les serveurs simples. Laissez désactivé, ou employez le mode souple (2), sur des machines à plusieurs liens, avec du routage par politique ou certaines configurations de VPN.

Ce que vous pouvez remarquer

Des connexions qui marchent par un chemin réseau échouent par un autre, ou un VPN cesse de passer le trafic. Les paquets jetés sont comptés par nstat comme IPReversePathFilter, ce qui désigne ce réglage.

Le vérifier sur votre ordinateur

Lire la valeur actuelle :

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.default.rp_filter

L'appliquer à la main

La définir maintenant (jusqu'au prochain redémarrage) :

sudo sysctl -w net.ipv4.conf.all.rp_filter=1
sudo sysctl -w net.ipv4.conf.default.rp_filter=1

La conserver après les redémarrages, dans un fichier qui vous appartient :

sudo tee /etc/sysctl.d/90-net-rp-filter.conf <<'EOF'
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
EOF
sudo sysctl --system

L'annuler

Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.

Réglages liés

Sources

Linux Hardening Guide (madaidans): 2.2.2
Linux kernel documentation: net