rp_filter
Linux-Einstellung, die eingehende Pakete verwirft, deren Absenderadresse der Kernel nicht über dieselbe Schnittstelle zurückrouten würde. Schutz gegen gefälschte Adressen — und Ursache für die Hälfte aller unerklärlichen Paketverluste der Welt.
Die Idee stammt aus RFC 3704: Behauptet ein Paket, von einer Adresse zu kommen, die laut Routingtabelle in eine ganz andere Richtung liegt, ist der Absender vermutlich gefälscht. Im strikten Modus (rp_filter=1) muss die Antwort über dieselbe Schnittstelle rausgehen, über die das Paket reinkam; im losen Modus (2) reicht es, dass die Adresse überhaupt erreichbar ist. Das Problem: völlig legitimes asymmetrisches Routing sieht identisch aus, weshalb auf Multihomed-Servern und in VPN-Aufbauten Traffic verschwindet, ohne eine einzige Logzeile zu hinterlassen. Abhilfe schafft entweder der lose Modus oder Policy Routing, das die Pfade symmetrisch macht. Der Zähler steckt in /proc/net/netstat unter IPReversePathFilter.