Comodo防火墙『容许/阻止规则』不能混合使用的话，这还算防火墙吗

显示全部楼层 · 发表于 2015-4-27 13:39:29

Comodo防火墙『容许/阻止规则』不能混合使用的话，这还算防火墙吗？不能混合，那改用简单的ZA不就好啦

只要CIS5.12或以上(现时点至CIS8.2)，所有使用Base Filtering Engine的CIS防火墙版本全都有BUG，容许/阻止规则混合使用有可能引致DPC上升，『规则』溢出影响其他程序运行

这里用BitComet作例，你也可以使用其他同类软件，但再现效果可能不好…

在Comodo防火墙为BitComet新建规则，一条或几条『阻止规则』用作挡TCP/UDP双向80、443、53 Ports、规则摆上优先(这么挡，问题会比较明显)，一条『容许规则』双向任何、摆下。

运行BitComet，也打开DHT、UPNP映射什么的
找十几、二十多个短时间BT不完的『种』下传，例如那些有人没速度迫你挂死在那里，或十几GB的东西测试 (关键不在上下传，下传太快可以限速)
短则半小时见效，长则二、三小时，长挂个半天以上，连网页也不用看啦

问题一步步解说

BitComet有几个(白〇)特性是，连接用户清单会滚雪球一样越滚越多不会清理，和不断的尝试连接其他用户端，这在已经断种断人，但Tracker/DHT却谎报还有几个人时尤其明显
BitComet预设每一『种』任务最多可连60人，在尝试连接『潜在用户』一遍后，如果『种』连不满60，会马上再一次重新对『潜在用户』尝试连接，如果『潜在用户』只有几个的话，BitComet就会不断对这几个IP尝试连接…
『对面IP』会不会以为你是黑帽或在玩拒绝服务不是重点，当然DHT产生的庞大尝试连接量也是需要的。

Comodo防火墙为了管理那些连接是『阻止』、那些是『容许』的，似乎是有个『内部清单』一直在记录这些
而没应答的TCP和UDP连接，在这『内部清单』上会象滚雪球一样越滚越多，DPC会不断增加，最后『阻止规则』溢出到其他程序的『规则』上起作用
不能浏览网页就是因为，这个『BitComet防火墙规则』溢出到『其他程序的防火墙规则』之上，前题当然是你也有在防火墙建有规则，例如浏览器的规则…

状况轻微会有些图片/网页可能连不上要按F5重试，慢慢的状况会加剧不断恶化

只要不关闭BitComet，问题就不会消除
你可以停用/重启Base Filtering Engine服务，停用时DPC问题消失，BFE服务重启后DPC问题回复
也可以停用/重启你的网卡，系统的TCP/UDP连接什么的都会归零吧，但情况依旧
然后，也可以尝试将BitComet的『阻止规则』改成『容许』，你会留意到DPC问题消失，但将该『容许规则』改回『阻止』，DPC问题回复

这一切的一切都只是为告诉你，问题出在Comodo的inspect.sys，和任何外部因素没有关系
这些尝试表示，Comodo防火墙对各程序的防火墙规则有一个记录『现存连接』的内部清单，只要该程序不关闭，这清单除了不会消失之外，还不会自我清理
没应答连接越滚越多，当Comodo防火墙对这些『现存连接』的条件分支对应超出系统规定的回应时间时，『规则』会溢出到其他程序的防火墙规则里去

混合规则不能用，这还配称防火墙？我笑

显示全部楼层 · 发表于 2015-4-27 14:44:49

目前没遇到过这种情况。

显示全部楼层 · 发表于 2015-4-27 19:03:08

楼主防火墙规则上下顺序是不是搞反了？

显示全部楼层 · 发表于 2015-4-27 21:06:24

要不就先默认安全模式看看

显示全部楼层 · 发表于 2015-4-28 00:19:30

只能说你对COMODO不了解

显示全部楼层 · 发表于 2015-5-12 04:08:01

羽扇纶巾发表于 2015-4-27 19:03
楼主防火墙规则上下顺序是不是搞反了？

我CF2就在用了、规则容许与否是由上到下看的
你自己将一条阻止全部摆上、一条容许全部摆下放在你的浏览器里、看看是你错还是我错

显示全部楼层 · 发表于 2015-5-12 04:30:01

YSJ 发表于 2015-4-27 21:06
要不就先默认安全模式看看

安全模式....改用简单的ZA不就好了
要用来挡BitComet输出80 port什么的(DHT就够, 而且要用的Tracker IP不会手动加规则吗), 天杀的Comodo防火墙随时间增加block浏览器80 port存取的次数, BitComet每开一会儿就要关掉重开, 天杀的

而且我也留意到"连接"有可能会错误被防火墙判断是经由cmdagent.exe发出
曾经看见cmdagent.exe向我发出几个IP的TCP输出询问, 因为输出Port的关系, 我就知道不是Comodo自己的, 到BitComet的潜在用户清单看一看, 果然有一模一样的IP和Port存在

天杀的自主规制要有多自主规制啊

显示全部楼层 · 发表于 2015-5-13 09:55:10

CFFans 发表于 2015-5-12 04:30
安全模式....改用简单的ZA不就好了
要用来挡BitComet输出80 port什么的(DHT就够, 而且要用的Tracker IP ...

楼主用别的bt下载程序试过吗，要是真的话这bug挺严重的

[BUG] Comodo防火墙『容许/阻止规则』不能混合使用的话，这还算防火墙吗