Запретить принимать ICMP redirect

а что в net.ipv4.conf.default.accept_redirects ? да и «sysctl net.ipv4.conf | grep accept_redirects» есть смысл посмотреть.

появление редиректов в сети плохой признак.

даже в lo?

Я слабо представляю рабочую конфигурацию в которой появляются редиректы из lo. А что, есть идеи ?

Если мучает паранойя, то на lo нужно обязательно отключать accept_redirects.

паранойя
lo

прикольно. спасибо, буду знать что так можно.

net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 1
net.ipv4.conf.lo.accept_redirects = 1
net.ipv4.conf.eth0.accept_redirects = 1
net.ipv4.conf.docker0.accept_redirects = 1

Ещё непонятно откуда этот интерфейс docker0 вылазит. Взлом исключён на уровне фаервола перед данной машиной. Надобности в этом докере никакой, у машины один интерфейс с одним default route.

Ну как откуда? Кто-то его создает, наверно docker :)

A «net.ipv4.conf.docker0.accept_redirects = 1» берется отсюда «net.ipv4.conf.default.accept_redirects = 1»

Ну как откуда? Кто-то его создает, наверно docker :)

У меня просто куча однотипных машин с той же Centos 6.8 и тем же самосборным софтом. И этого docker там нет, и сетевого интерфейса лишнего тоже. Я уже думал на всякие трояны и вирусы. Что это и зачем оно? Можно ли удалить?

Можно. Разрешаю :)

Значит не совсем однотипные. Это же твоя система, т.ч. ты решаешь что тебе нужно, а что - нет.

Скорее всего docker0 - это мост, который может существовать и без докера.

Смотри конфигурацию сети.

Смотри конфигурацию сети.

Ну дык это, там АТСки. У них один eth0 с одним IP которым они смотрят во вне и один default route. Я понимаю, что docker0 там не нужен, но я не понимаю, откуда он автоматом берётся и можно ли его безболезненно прибить. Для чего оно вообще нужно?

Я не знаю откуда он берется. У меня нет centos.