Использование Lubuntu 18.10 Cosmic Cuttlefish
Большинство команд остаются неизменными. Однако Lynis неоднократно демонстрировал, что четыре параметра sysctl не сохраняются при перезагрузке. sysctl -p успешно применяет их после запуска системы.
fs.suid_dumpable=0 (still haven't figured this out)
net.ipv4.conf.all.rp_filter=1 (Wireguard VPN overruled this; see source 1 below)
net.ipv4.conf.all.log_martians=1 (/etc/ufw/sysctl.conf overruled this)
net.ipv4.conf.default.log_martians=1 (/etc/ufw/sysctl.conf overruled this)
Меня больше всего беспокоит net.ipv4.conf.all.rp_filter, который должен быть установлен в 1, но установлен в 0 ... оставляя машину уязвимой для подмены IP. Как я могу убедиться, что они установлены правильно при загрузке? Примечание обновление: это автоматически отключается VPN, такими как Wireguard (возможно, openvpn / другие), чтобы не отбрасывать законные пакеты, подробности см. в источнике выше. Отключение команды загрузки Wireguard VPN sysctl привело к тому, что fp_filter = 1 работал должным образом, что потенциально могло вызвать проблемы для Wireguard. Lynis Ложно-положительный результат, я оставлю это отключенным для функциональности. Предупреждение отключение Wireguard после загрузки (пока) не приводит к восстановлению безопасных настроек. sysctl -p обязательный.
Расположение всех файлов sysctl.conf через find / -name '*sysctl*.conf'
/usr/share/doc/procps/examples/sysctl.conf
/snap/core/6405/etc/sysctl.conf
/snap/core/6405/etc/sysctl.d/99-sysctl.conf
/snap/core18/719/etc/sysctl.d/99-sysctl.conf
/etc/sysctl.conf
/etc/ufw/sysctl.conf
/etc/sysctl.d/99-sysctl.conf
Создать файл /etc/sysctl.d/local.conf содержащие нужные вам значения.
fs.suid_dumpable=0
net.ipv4.conf.all.log_martians=1
net.ipv4.conf.all.rp_filter=1
net.ipv4.conf.default.log_martians=1
Перезагрузка.
Сценарии загружают любые файлы * .conf из нескольких каталогов в порядке сопоставления имен файлов. Увидеть sysctl --system параметр на странице руководства для путей поиска.
В частности, убедитесь, что какие-либо значения еще не определены в /etc/sysctl.conf. Подумайте о перемещении ценностей, которые вы хотите сохранить, в sysctl.d, затем удалив этот файл.