诚鑫致达 企业数据管家
技术干货 企业数据管家 文：诚鑫技术团队 本文由 AI 辅助生成，经人工审核后发布

伪造源地址的包进门就丢：AR路由器uRPF严格检查按路由反查

整理自华为官方发布的配置举例。

不少攻击的第一步是伪造源地址：把报文的来源IP改成别人的，让设备以为是可信终端发来的。普通的包过滤按规则匹配地址，可地址本身是伪造的，规则拦不住假身份。华为路由器的uRPF（反向路由转发检查）换了个思路查身份——收到报文后反查路由表：这个源地址如果真是从这台设备该来的接口过来的，路由表里回它的路就该走这个口；对不上就把包丢掉。源地址骗得过规则，骗不过路由表。

场景与思路

官方案例组网：Router的10GE0/0/1接口接用户PC1和PC2，10GE0/0/2接口接上层路由器。要求在两个接口上配置uRPF严格检查模式防源地址欺骗，并且做个精细控制——只对用户PC2（IP地址10.0.0.3所在网段）的报文做uRPF检查，PC1的流量不受影响。

配置思路两条：接口10GE0/0/1配基于ACL的uRPF，仅对ACL匹配的报文检查；接口10GE0/0/2直接配uRPF严格检查，对全体进入报文生效。这种"接口级全量+ACL圈定范围"的组合拳，正好覆盖边检重点做、普通流量不受累的运维需求。命令形态上urpf strict是主命令，ACL是可选挂件——不挂ACL就是全量检查，挂了ACL就只查permit命中的源，两种挂法都落在接口视图下，改动即时生效，排障时display this一眼能看到当前挂法。

配置：两个接口两种挂法

接口10GE0/0/1，uRPF严格检查绑定ACL 2001，ACL里permit的源地址范围就是被检查的范围：

<HUAWEI> system-view
[HUAWEI] sysname Router
[Router] interface 10GE 0/0/1
[Router-10GE0/0/1] ip address 10.0.0.1 24
[Router-10GE0/0/1] urpf strict acl 2001
[Router-10GE0/0/1] quit
[Router] acl number 2001
[Router-acl-basic-2001] rule permit source 10.0.0.3 0.0.0.255
[Router-acl-basic-2001] quit

接口10GE0/0/2连着上层路由器，整口开启严格检查：

[Router] interface 10GE 0/0/2
[Router-10GE0/0/2] ip address 10.0.1.1 24
[Router-10GE0/0/2] urpf strict
[Router-10GE0/0/2] quit

验证与落盘配置

display acl确认规则生效：

[Router] display acl 2001
Basic ACL 2001, 1 rule
 ACL's step is 5
 rule 5 permit source 10.0.0.0 0.0.0.255

接口配置可用display this核对，配置文件里最终形态如下：

#
sysname Router
#
acl number 2001
 rule 5 permit source 10.0.0.0 0.0.0.255
#
interface 10GE0/0/1
 ip address 10.0.0.1 255.255.255.0
 urpf strict acl 2001
#
interface 10GE0/0/2
 ip address 10.0.1.1 255.255.255.0
 urpf strict
#
return

严格模式的适用边界

uRPF严格检查的判定依据是路由对称：源地址回程路由的出接口必须就是收到报文的接口。所以它适合路由对称的网络——企业出口、接入网关这类"一条路进一条路出"的位置。天然存在非对称路由的网络（多出口策略路由、部分运营商互联场景），严格模式会误杀正常报文，这类位置要么用松散模式，要么避开uRPF改用其他防护手段。上严格检查前先想清楚本网络的路由是否对称，这一步比敲命令更重要。上线初期建议留一周观察期，对照接口丢弃计数与业务反馈判断有没有误杀，确认无虞再固化到配置基线里。

另外注意官方案例里ACL反掩码的写法：10.0.0.3配0.0.0.255，实际圈定的是10.0.0.0/24这个C段——按业务意图圈检查范围时，掩码要自己核算一遍，别照抄地址。

内网终端冒用别人地址的事，uRPF加上之前讲过的IPSG、DAI可以从路由、交换、接入三层分别收口，贵州诚鑫致达科技可以按网络层次配套防欺骗方案，欢迎搜索关注交流。

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。