Windows Server源IP未绑定发送NIC时不发送IP包配置咨询

根因 #

你遇到的拦截是Windows Server默认启用的强主机发送（Strong Host Send） 安全机制导致的：

• 从Windows Server 2008开始，系统默认对所有IPv4/IPv6接口启用强主机模型
• 该模型下，系统从指定网卡发送数据包时，会强制校验数据包源IP是否为绑定在该网卡上的合法地址，校验不通过的数据包会被直接丢弃
• 你测试中路由到tun网卡的数据包源IP为ip_tun，该IP本身绑定在tun接口上，所以校验通过可正常发送；路由到物理网卡时ip_tun不属于物理网卡绑定地址，因此被丢弃

配置步骤 #

所有操作需在管理员权限的PowerShell或CMD中执行：

• 查询所有网卡的接口索引，定位物理真实NIC对应的Idx编号：

netsh interface ipv4 show interfaces

• 对目标物理网卡启用弱主机发送模式，关闭源IP绑定校验，将命令中<物理网卡Idx>替换为上一步查到的实际编号：

netsh interface ipv4 set interface <物理网卡Idx> weakhostsend=enabled

• 校验配置是否生效，执行后查看返回结果中弱主机发送项是否为enabled状态：

netsh interface ipv4 show interface <物理网卡Idx>

补充说明 #

• 该配置为接口级配置，仅修改指定物理网卡的发送校验逻辑，不会改动其他网卡的默认安全规则
• 若物理网卡承载公网业务，启用弱主机发送后建议配套配置出站防火墙规则，拦截伪造源IP的非法流量，避免被用于发起反射攻击
• 配置执行后即时生效，无需重启系统或网卡

内容的提问来源于stack exchange，提问作者zhenchuan9r