Reverse path filtering (rp_filter) là cơ chế kernel Linux chặn asymmetric routing: gói tin vào interface này không được ra interface khác. Giúp chống IP spoofing, tăng bảo mật mạng.
Reverse Path Filtering hoạt động như thế nào?
Kernel kiểm tra source IP của gói tin đến: nếu route ngược (reply) không quay lại interface nhận gói tin → drop gói tin. Chế độ: 0=tắt, 1=strict (RFC3704), 2=loose (chỉ kiểm tra source có route nào đó).
rp_filter làm gì?
Giảm tấn công IP spoofing. Internet nguy hiểm – rp_filter là một lớp bảo vệ tại kernel level.
Cách kiểm tra reverse routing trên Linux
- Xem giá trị hiện tại: `cat /proc/sys/net/ipv4/conf/all/rp_filter` hoặc per-interface `/proc/sys/net/ipv4/conf/
/rp_filter`. - Bật strict mode: `sysctl -w net.ipv4.conf.all.rp_filter=1` (và per-interface).
- Viết vào `/etc/sysctl.d/99-rp-filter.conf` để bật vĩnh viễn.
VPN Client là gì?
Phần mềm thiết lập kết nối an toàn (tunnel mã hóa) từ thiết bị người dùng đến VPN server. Có thể tự động chạy nền hoặc có GUI tương tác.
Tại sao cần VPN?
Ẩn hoạt động online, che IP, mã hóa traffic trên mọi Wi-Fi (nhà, công ty, quán cà phê) – chống nghe lén, tracking, spoofing.
VPN là gì & hoạt động ra sao?
Virtual Private Network: app tạo tunnel mã hóa giữa thiết bị bạn và Internet. Traffic đi qua server VPN → che IP thật, bảo mật dữ liệu trên mạng công cộng.
Reverse Path Filtering trên Linux
Kernel Linux áp dụng rp_filter đảm bảo routing header hợp lệ cho mọi gói tin. Thiết bị doanh nghiệp thường bật mặc định.
Path Filtering là gì?
Router tự động drop gói tin source IP không thuộc mạng quản lý (ví dụ: private IP ra Internet). Kỹ thuật liên quan rp_filter – chống IP spoofing, route leak.
Mục đích Unicast Reverse Path Forwarding (uRPF)
uRPF kiểm tra source IP gói tin có route ngược hợp lệ không – drop gói tin spoofed. Dùng ở ISP/enterprise edge router.
Reverse Path Forwarding (RPF) trong Multicast
Multicast router dùng RPF check source IP: nếu gói tin đến từ interface không phải shortest path về source → drop. Ngăn loop multicast trong MVPN.
Reverse Path Filtering (tóm tắt)
Kiểm soát gói tin đến dựa trên source address range. Bật rp_filter → DataPower Gateway drop gói tin source routing, tăng bảo mật.
`net.ipv4.conf.default.rp_filter` làm gì?
Giá trị mặc định cho interface mới. Mỗi interface có file rp_filter riêng – có thể bật/tắt từng interface.