Linux一些涉网络安全方面参数设定

参数

意义

调整方法

存储位置

推荐值

net.ipv4.ip_forward

控制IPv4数据包转发（路由器功能）

sysctl -w net.ipv4.ip_forward=1 或修改配置文件

/proc/sys/net/ipv4/ip_forward

0（非路由设备）

net.ipv4.tcp_syncookies

启用SYN Cookie防御SYN洪水攻击

sysctl -w net.ipv4.tcp_syncookies=1

/proc/sys/net/ipv4/tcp_syncookies

1（开启）

net.core.somaxconn

TCP连接队列的最大长度，影响高并发性能

sysctl -w net.core.somaxconn=1024

/proc/sys/net/core/somaxconn

1024

net.ipv4.tcp_max_syn_backlog

SYN队列的最大长度，防御SYN攻击

sysctl -w net.ipv4.tcp_max_syn_backlog=2048

/proc/sys/net/ipv4/tcp_max_syn_backlog

2048

net.ipv4.tcp_syn_retries

SYN重试次数，减少连接等待时间

sysctl -w net.ipv4.tcp_syn_retries=3

/proc/sys/net/ipv4/tcp_syn_retries

3

net.ipv4.icmp_echo_ignore_all

忽略所有ICMP Echo请求（禁用Ping响应）

sysctl -w net.ipv4.icmp_echo_ignore_all=1

/proc/sys/net/ipv4/icmp_echo_ignore_all

0（允许响应）

net.ipv4.conf.all.rp_filter

反向路径过滤，防止IP欺骗（严格模式为2）

sysctl -w net.ipv4.conf.all.rp_filter=2

/proc/sys/net/ipv4/conf/all/rp_filter

2（严格模式）

net.ipv4.conf.all.accept_redirects

禁止接受ICMP重定向，防止路由劫持

sysctl -w net.ipv4.conf.all.accept_redirects=0

/proc/sys/net/ipv4/conf/all/accept_redirects

0（关闭）

net.ipv4.conf.all.accept_source_route

禁止接受源路由数据包，防止路径劫持

sysctl -w net.ipv4.conf.all.accept_source_route=0

/proc/sys/net/ipv4/conf/all/accept_source_route

0（关闭）

net.ipv4.tcp_fin_timeout

TCP FIN等待时间（释放连接资源速度）

sysctl -w net.ipv4.tcp_fin_timeout=30

/proc/sys/net/ipv4/tcp_fin_timeout

30（秒）

net.ipv4.tcp_tw_reuse

允许TIME-WAIT状态端口复用（需结合时间戳）

sysctl -w net.ipv4.tcp_tw_reuse=1

/proc/sys/net/ipv4/tcp_tw_reuse

1（开启）

net.core.rmem_max / wmem_max

套接字接收/发送缓冲区的最大值

sysctl -w net.core.rmem_max=16777216

/proc/sys/net/core/rmem_max /proc/sys/net/core/wmem_max

16777216（16MB）

net.ipv4.tcp_keepalive_time

TCP连接空闲后发送Keepalive探测的时间间隔

sysctl -w net.ipv4.tcp_keepalive_time=600

/proc/sys/net/ipv4/tcp_keepalive_time

600（秒，根据应用调整）

net.ipv4.tcp_max_tw_buckets

限制TIME-WAIT状态连接的数量，防止资源耗尽

sysctl -w net.ipv4.tcp_max_tw_buckets=32768

/proc/sys/net/ipv4/tcp_max_tw_buckets

32768

net.ipv4.tcp_timestamps

启用TCP时间戳（可能影响NAT环境，需权衡）

sysctl -w net.ipv4.tcp_timestamps=1

/proc/sys/net/ipv4/tcp_timestamps

1（开启，NAT环境可关闭）