rp_filter
Configuração do Linux que descarta pacotes recebidos cujo endereço de origem o kernel não roteria de volta pela mesma interface. Uma medida antispoofing e a causa de metade da perda de pacotes inexplicável do mundo.
A ideia vem da RFC 3704: se um pacote diz vir de um endereço que a tabela de roteamento coloca numa direção completamente diferente, o remetente provavelmente é forjado. No modo estrito (rp_filter=1), a resposta precisa sair pela interface em que o pacote chegou; no modo permissivo (2), basta que o endereço seja alcançável de alguma forma. O problema é que um roteamento assimétrico perfeitamente legítimo tem exatamente a mesma cara, então em servidores multihomed e em configurações de VPN o tráfego some sem uma única linha de log. O remédio é usar o modo permissivo ou um roteamento por política que torne os caminhos simétricos. O contador fica em /proc/net/netstat, em IPReversePathFilter.