在共享以太网或公共Wi-Fi局域网中，终端设备依赖默认网关将数据包转发至外部互联网。正常情况下，工作站向本地路由器发送报文，再由路由器逐跳转发至目标服务器。然而，IPv4协议栈在早期设计中内置了辅助诊断机制——1981年由RFC 792标准化的互联网控制报文协议（ICMP）。

RFC 792定义了ICMP重定向报文（Type 5）。该功能最初旨在优化网络路径，允许网关告知主机存在更优的第一跳路由。但在缺乏安全验证的局域网广播域中，攻击者能够滥用该报文实施局域网路由投毒攻击（ICMP Route Poisoning）。

RFC 792 ICMP Type 5报文结构解析

当路由器从某个接口接收到IP数据包，发现其最佳下一跳仍需从该相同物理接口发出时，即判定路径存在次优转发。此时，网关会向原始发包主机回复ICMP重定向报文。

ICMP Type 5报文的二进制结构如下：

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|     Type (5)  |     Code      |          Checksum             |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                 Gateway Internet Address                      |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|      Internet Header + 64 bits of Original Data Datagram      |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

报文字段技术参数：

  • Type字段： 数值为5，表示ICMP重定向报文。
  • Code字段： 定义重定向作用范围：
    • Code 0：针对目标子网的重定向。
    • Code 1：针对特定目标主机的重定向。
    • Code 2：针对服务类型（ToS）及子网的重定向。
    • Code 3：针对服务类型及特定主机的重定向。
  • Gateway Internet Address： 32位IPv4地址，指定建议使用的首跳网关IP。
  • 有效载荷： 包含触发重定向的原始IP头部以及至少64位（8字节）原始数据载荷。

接收主机内核在解析报文时，会比对所附带的64位原始数据是否与活跃网络套接字（源IP、目的IP、端口及协议）一致。一旦匹配，内核便接受重定向指令，并动态更新本地转发信息库（FIB）。

局域网中间人攻击链路与实现过程

RFC 792标准未提供密码学认证手段。任何接入相同二层局域网的恶意终端，均可伪造发送ICMP Type 5报文。

攻击实施流程主要包括三个阶段：

  1. 流量监听： 攻击者监听局域网发出的报文，捕获受害主机的外联网络会话特征。
  2. 伪造重定向帧： 构造ICMP Type 5 Code 1报文，将网关地址设为攻击者自己的IP，源IP伪造成合法路由器，并附加上受害者最近发出的连接头部信息。
  3. 内核路由篡改： 受害主机误认为该指令来自合法网关，内核在动态路由缓存中自动插入一条掩码为/32的主机路由，将发往该目标地址的流量转交攻击者处理。
攻击阶段 攻击者行为 受害主机响应 最终网络状态
监听侦察 捕获外发TCP/UDP会话 正常通信交互 获取活跃连接信息
伪造报文 发送ICMP Type 5 Code 1 校验附带的64位包头 匹配本地连接套接字
修改路由 宣告攻击者IP为新网关 生成动态/32主机路由 目标路径被重定向
劫持中继 拦截外发流量并转发网关 维持正常连接假象 实现完整三层中间人窃听

虚拟专用网络（VPN）面临的重定向风险

终端在启用VPN时会创建虚拟网络接口（如wg0或tun0），将流量加密封装。然而，若底层路由控制与防火墙规则存在疏漏，ICMP重定向仍可能造成威胁：

1. VPN服务端节点流量重定向

VPN客户端必须通过物理网卡（如eth0或wlan0）向VPN服务端的公网IP发送UDP隧道报文。若局域网攻击者向客户端注入针对VPN服务端公网IP的ICMP重定向指令，系统会将隧道载荷转交攻击者。尽管WireGuard采用ChaCha20-Poly1305保障加密强度，攻击者仍可借助流量特征分析通信行为或阻断连接。

2. 隧道穿透与分流泄露风险

在拆分隧道模式或策略路由不完善的环境下，攻击者伪造的/32主机路由优先级高于宽泛网络路由（如0.0.0.0/1）。受害主机可能会将针对特定敏感服务的数据包直接通过本地物理网卡以明文发送，脱离受保护的加密隧道。

操作系统内核加固：全面禁用ICMP重定向

现代网络拓扑结构具备集中化高效转发能力，终端无需接受第三方重定向指令。RFC 1122明确建议主机系统严格限制甚至关闭该报文的处理。

Linux内核Sysctl参数加固

使用系统指令查看当前重定向配置状态：

sysctl -a | grep -E "accept_redirects|send_redirects"

在配置文件/etc/sysctl.d/99-disable-icmp-redirects.conf中写入以下参数以彻底禁用：

# 禁用所有IPv4网卡的ICMP重定向接收
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0

# 禁用ICMP重定向报文发送
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

# 禁用IPv6 ICMPv6重定向接收 (RFC 4861)
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0

执行命令使配置立即生效：

sudo sysctl --system

macOS与BSD系统配置

在macOS或BSD环境下，通过调整网络内核参数进行拦截：

sudo sysctl -w net.inet.icmp.drop_redirect=1

Windows主机安全策略

Windows操作系统可在注册表内针对TCP/IP协议栈关闭ICMP重定向功能。通过PowerShell执行：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name "EnableICMPRedirect" -Value 0 -Type DWord

RiceGuard策略路由的三层网络防御架构

除了操作系统底层的参数加固外，VPNRice通过RiceGuard技术架构实现端到端的通信安全隔离：

  1. 独立路由表与防火墙标记（fwmark）： RiceGuard为应用流量打上专用防火墙标记，并通过Linux策略路由数据库（ip rule）强制将标记报文导向独立的51820路由表，完全隔绝主路由表中被篡改的条目。
  2. 物理网络接口包过滤： 通过nftables在物理接口层主动丢弃所有传入的ICMP Type 5报文，避免内核网络栈解析非法重定向指令。
  3. WireGuard防重放验证机制： 基于Noise IK握手协议与64位滑动窗口防重放计数器，确保局域网内的任何报文篡改与嗅探尝试均被即时识别并丢弃。

通过结合内核级网络加固与VPNRice的三层策略隔离，用户在公共Wi-Fi和不可信网络环境下能够抵御路由投毒与流量劫持威胁。