Linux网络"源进源出"

一、引言

源进源出（SI/SO）是Linux网络栈中处理数据包源地址验证的关键机制，主要解决以下问题：
防止IP地址欺骗（IP Spoofing）

确保对称路由的正确性

满足合规性要求（如PCI-DSS）

二、技术背景
网络层核心概念

概念 说明

反向路径过滤（RPF） 检查入站数据包的源地址是否可通过接收接口到达
松散模式（Loose） 源地址存在路由即可，不严格匹配入口
严格模式（Strict） 源地址必须从预期接口到达

内核实现演进

timeline
title Linux RPF发展史
2002 : 基础RPF检查 (kernel 2.4)
2009 : 松散模式引入 (kernel 2.6.32)
2015 : 基于cgroup的扩展 (kernel 4.2)
2020 : BPF增强实现 (kernel 5.7)

三、核心特性与算法原理
处理流程图

graph TD
A[数据包到达] --> B{RPF检查}
–>通过
C[正常处理]

–>失败
D[丢弃/日志]

subgraph 内核决策

–> E[路由表查询]

–> F[反向路径匹配]

end

算法伪代码

def rpf_check(packet):
route = lookup_route(packet.src_ip)
if not route:
return False # 无路由

if strict_mode:
    return route.iface == packet.in_iface
else:
    return True  # 松散模式仅检查路由存在

四、环境准备
系统要求

检查内核支持

grep RPF /boot/config-$(uname -r)
预期输出：CONFIG_IP_ROUTE_VERIFY=y

临时启用严格模式

echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter

工具链

诊断工具

sudo apt install iproute2 tcpdump conntrack

五、多场景实现

场景1：基础网络防护

启用全局严格模式

for iface in $(ls /proc/sys/net/ipv4/conf/); do echo 1 > /proc/sys/net/ipv4/conf/$iface/rp_filter
done

例外配置（VPN隧道）

echo 0 > /proc/sys/net/ipv4/conf/tun0/rp_filter

场景2：Kubernetes容器网络

// 使用CNI插件配置
apiVersion: networking.k8s.iov1
kind: NetworkPolicy
metadata:
name: strict-rpf
spec:
podSelector: {}
policyTypes:
Ingress

ingress:
from:

ipBlock:

    cidr: 10.244.0.0/16

场景3：云环境混合部署

AWS VPC流日志配置

resource “aws_flow_log” “rpf_monitor” {
log_destination = “arn:aws:logs:us-west-2:123456789012:log-group:rpf_errors”
traffic_type = “REJECT”
filter = “action ‘REJECT’ && reason ‘RPF’”

六、实际测试案例
测试拓扑

[攻击者] --spoofed_packet–> [网关] --valid_packet–> [服务端]

检测脚本

from scapy.all import *

def detect_spoofing():
sniff(filter=“icmp”, prn=lambda x:
print(f"Possible spoof: {x[IP].src}") if not verify_route(x[IP].src)
else None)

def verify_route(ip):
# 简化版路由检查
return os.system(f"ip route get {ip} >/dev/null 2>&1") == 0

结果分析

查看丢弃统计

cat /proc/net/netstat | grep -i ‘ipreversePathFailures’
典型输出：IpExt: 129 ReversePathFailures

七、疑难解答

常见问题排查表
现象 可能原因 解决方案

合法流量被丢弃 非对称路由 切换为松散模式
VPN连接失败 RPF与隧道冲突 禁用隧道接口RPF
性能下降 路由查询开销 优化路由表或启用缓存

八、未来展望

技术趋势
eBPF增强：动态加载RPF检查逻辑

  SEC("filter")

int handle_rpf(struct __sk_buff *skb) {
// 可编程策略实现

AI预测：基于流量模式动态调整严格等级

现存挑战
非对称路由与SDN的兼容性问题

IPv6扩展头的处理复杂度

九、总结

源进源出技术通过：
提供网络层基础安全防护

支持灵活的策略配置

与现代云原生架构深度集成

建议生产环境采用分层策略：
边界网关：严格模式

内部网络：松散模式+流日志监控

容器网络：命名空间隔离+网络策略