10.5. 源地址过滤

所有 IP 数据包头部都包含源和目标 IP 地址以及 IP 协议消息的类型；ICMP、UDP 或 TCP 数据包包含这些信息。在互联网协议 - IP) 下唯一的身份识别方式是 IP 数据包头部中的源地址。 这是一个问题，它为源地址欺骗打开了大门，发送者可能会将其地址替换为不存在的地址，或某些其他站点的地址。

# Refuse spoofed packets pretending to be from the external address. ipchains -A input -i $EXTERNAL_INTERFACE -s $IPADDR -l -j DENY

此外，在任何情况下，您都应该拒绝在外部接口上接收至少七组源地址。 这些是声称来自以下地址的传入数据包

1. 您的外部 IP 地址

2. A 类私有 IP 地址

3. B 类私有 IP 地址

4. C 类私有 IP 地址

5. D 类多播地址

6. E 类保留地址

7. 环回接口

除了您自己的 IP 地址外，阻止包含这些源地址的传出数据包可以保护您免受您自身可能发生的配置错误的影响。

防火墙脚本文件中使用的其余规则是

• 从外部世界访问服务

• 向外部世界提供服务

• 伪装内部机器