CentOS服务器网卡默认配置往往只保证连通性，一旦接入生产环境，多网卡路由冲突、ARP报文泛滥、IPv6自动配置不受控等问题会直接暴露在公网或内网边界。网络接口安全配置的核心不是“装个防火墙就行”，而是先控制接口本身的行为：哪些接口允许收发什么类型的帧、是否响应邻居发现、是否生成默认路由、是否允许源地址非本机的数据包离开主机。把这一层做扎实，后续iptables或firewalld策略才有可靠的执行基础。

先锁定接口的ARP行为

CentOS在/sys/class/net/接口名/目录下暴露了大量内核网络参数，arp_ignore和arp_announce是ARP层最容易被忽略的两个安全开关。默认情况下，主机可能对任意接口收到的ARP请求都做出应答，在多网卡场景中，这会导致内网主机错误学习到MAC地址，甚至被用于ARP欺骗。建议在/etc/sysctl.conf中显式设置：

net.ipv4.conf.all.arp_ignore = 1
net.ipv4.conf.all.arp_announce = 2
net.ipv4.conf.default.arp_ignore = 1
net.ipv4.conf.default.arp_announce = 2

arp_ignore=1表示只有当ARP请求的目标IP地址落在接收接口的本地地址上时才响应，避免跨接口应答。arp_announce=2则强制ARP应答中通告的源IP必须与出口接口匹配，防止多网卡主机用错误IP应答。对于只做内网服务的CentOS服务器，这两个参数能显著降低ARP层的攻击面。

关闭不需要的IPv6自动配置

很多CentOS服务器实际只使用IPv4，但系统默认开启了IPv6的SLAAC和隐私扩展，接口会自动生成链路本地地址、接收路由器通告、甚至自动配置全局IPv6地址。这不仅增加路由复杂度，还可能让攻击者通过IPv6绕过仅针对IPv4设计的访问控制。如果业务明确不需要IPv6，直接在接口配置文件中禁用：

IPV6INIT=no

同时在内核参数中关闭接口的IPv6自动配置：

net.ipv6.conf.all.autoconf = 0
net.ipv6.conf.all.accept_ra = 0
net.ipv6.conf.default.autoconf = 0
net.ipv6.conf.default.accept_ra = 0

如果必须保留IPv6但需要限制自动行为，至少应关闭accept_ra和autoconf，只保留静态配置的地址。这样接口不会因为收到伪造的路由通告而改变路由表或生成额外地址。

控制反向路径过滤防止IP欺骗

反向路径过滤（rp_filter）是Linux内核提供的基础防欺骗机制。当接口收到数据包时，内核会检查该数据包的源地址是否可以通过接收接口反向路由回去。如果反向路径与接收接口不一致，数据包会被丢弃。CentOS默认值在不同版本中可能不同，建议显式开启严格模式：

net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

严格模式在多网卡、非对称路由场景下可能误伤正常流量，但服务器角色通常路由对称，开启严格模式利大于弊。如果服务器作为路由器或存在策略路由，需要评估是否降级为松散模式（值2）。对于普通业务服务器，严格模式能有效阻止源地址伪造的数据包进入协议栈。

禁止源路由和ICMP重定向

源路由允许发送方指定数据包的转发路径，这在现代网络中几乎没有任何合法用途，却可被攻击者利用绕过部分访问控制。ICMP重定向则可能被用于篡改主机的路由表。CentOS服务器应明确关闭这两项：

net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0

同时关闭发送ICMP重定向的能力，避免本机被利用去影响同网段其他主机：

net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

这些参数在服务器角色中几乎没有副作用，但对网络层的主动攻击和中间人攻击有直接的抑制作用。

限制接口的广播和组播行为

服务器接口通常不需要主动加入大量组播组，也不应响应无关的广播流量。可以通过接口配置和内核参数限制组播。对于不需要组播的接口，直接关闭组播：

ip link set dev eth0 multicast off

但要注意，某些集群软件或路由协议依赖组播，关闭前需确认业务。更稳妥的做法是保留组播但限制IGMP行为，关闭不必要的IGMP报告：

net.ipv4.conf.all.igmpv2_unsolicited_report_interval = 0
net.ipv4.conf.all.igmpv3_unsolicited_report_interval = 0

对于广播，内核没有直接关闭广播接收的开关，但可以通过防火墙限制广播地址的入站流量，或者在应用层不绑定广播地址。接口层面能做的更多是确保接口不加入不必要的组播组，减少被组播泛洪影响的风险。

用ethtool控制接口速率和卸载功能

ethtool不仅能查看网卡状态，还能关闭一些可能带来安全风险的硬件卸载功能。例如，某些网卡的Large Receive Offload（LRO）和Generic Receive Offload（GRO）在特定条件下可能导致数据包重组异常，被用于绕过入侵检测系统。对于安全要求较高的环境，可以关闭LRO：

ethtool -K eth0 lro off

同时检查网卡的速率和双工模式，强制设置为固定值，防止自动协商被恶意降级：

ethtool -s eth0 speed 1000 duplex full autoneg off

不过强制关闭自动协商需要交换机侧配合，生产环境建议保留自动协商，但通过ethtool监控接口状态变化。ethtool的另一个安全相关用途是查看接口统计信息，异常的错误计数、丢弃计数往往能反映物理层攻击或线路问题。

多网卡场景下的路由隔离

多网卡服务器最常见的安全问题是默认路由冲突和流量从错误接口流出。CentOS的接口配置文件支持DEFROUTE参数，明确指定哪个接口可以生成默认路由：

DEFROUTE=yes

对于非默认路由接口，设置DEFROUTE=no，避免启动时自动添加默认路由。同时使用策略路由确保响应流量从接收接口返回。例如，内网接口eth1的流量必须从eth1返回，可以在/etc/iproute2/rt_tables中定义独立路由表，然后添加规则：

ip rule add from 192.168.10.0/24 table 100
ip route add default via 192.168.10.1 dev eth1 table 100

这种配置能防止非对称路由，也减少了攻击者利用多接口进行源地址欺骗的机会。对于有多个上游链路的服务器，策略路由是接口安全的基础，否则防火墙规则可能因为流量路径不一致而失效。

接口绑定与冗余安全

使用bonding或teamd做接口冗余时，安全配置需要覆盖到从接口和主接口。从接口不应有自己的IP地址，也不应响应ARP，否则会破坏bonding的故障转移逻辑，并可能被利用进行MAC地址欺骗。在从接口配置文件中确保没有IPADDR字段，同时设置：

SLAVE=yes
MASTER=bond0

对于bond0主接口，建议使用802.3ad模式（mode=4）或active-backup模式（mode=1），并配置miimon监控链路状态。bonding接口的arp_validate参数可以防止故障转移时的ARP缓存问题：

BONDING_OPTS="mode=1 miimon=100 arp_validate=1 arp_interval=100"

arp_validate=1会在链路切换时验证ARP表项，避免旧MAC地址继续被使用。这些细节直接影响高可用场景下的网络接口安全性。

接口的防火墙区域绑定

firewalld在CentOS 7及以上版本中默认启用，但很多管理员只关注服务端口，忽略了接口与区域的绑定关系。每个接口应明确绑定到合适的区域，而不是全部使用默认的public区域。例如，内网接口绑定到internal或trusted区域，外网接口绑定到public或external区域：

firewall-cmd --permanent --zone=internal --change-interface=eth1
firewall-cmd --permanent --zone=public --change-interface=eth0

区域绑定后，不同接口的入站规则完全隔离，即使内网接口被攻破，外网接口的规则也不会受到影响。对于使用iptables的旧系统，应在INPUT链中按接口匹配规则：

iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i eth0 -j DROP

这种按接口划分信任级别的方式比单纯按IP地址过滤更可靠，因为接口是物理或逻辑边界，攻击者无法轻易改变数据包的入接口。

监控接口的异常状态

安全配置完成后，持续监控接口状态是发现攻击和配置错误的关键。CentOS可以通过ethtool、ip命令和/proc/net/dev获取接口统计。重点关注以下指标：rx_dropped、rx_errors、tx_errors、collisions的异常增长，以及接口的载波状态变化。可以编写简单的监控脚本，定期记录接口统计并与基线对比：

ip -s link show eth0

如果发现接收错误或丢弃计数快速上升，可能是物理层攻击、网卡故障或内核协议栈处理瓶颈。接口的promiscuity状态也需定期检查，正常情况下服务器接口不应处于混杂模式：

ip link show eth0 | grep PROMISC

如果接口意外进入混杂模式，说明可能有抓包工具或恶意程序在监听流量。结合auditd审计网络配置变更，可以在接口参数被修改时及时告警。

网络接口安全配置不是一次性的操作，而是需要根据服务器角色、网络拓扑和威胁模型持续调整的过程。CentOS的内核网络参数和接口管理工具提供了足够的控制粒度，关键在于理解每个参数对实际流量的影响，并在测试环境中验证后再应用到生产。接口层的安全措施虽然不显眼，但它们是主机网络安全的第一道物理边界，任何上层防护的缺失都可能因为接口行为不受控而被绕过。