请赐教：毛豆防火墙防ARP全局规则

huang88488

原来按照顶置贴教程的防ARP设置，可能是自己没搞懂的缘故，一个字符都不带错的设置完，但是压根上不了网
又潜水N久发现了这两篇帖子http://bbs.kafan.cn/viewthread.php?tid=318960&highlight=arp，
http://bbs.kafan.cn/viewthread.php?tid=310925&highlight=

按照高手提供的思路自己试着设置了下，网能正常使用，但是心里实在没底，自己水平比较菜又英文文整不太懂，而且也不知道自己的设置是否真的能防住ARP，所以在这向大家求教下~~~不说没用的了，大家看图先~~~


                                                        图1


                         图2

全局规则直接套用的局长规则，ARP规则是按照高手思路自己试着搞的，但是这里有几个疑问~~~

1、图1的头4条规则这样设置能不能防ARP？有没有什么设置上的错误？
2、图1中allow ip out from ip any to ip anywhere protocol is 47  这个是什么意思？做什么用的啊？
3、图2中Source Address下的对勾项Exclude项勾上时是“阻止任意IP连入但是将loca area network定义的IP地址除外”这个意思么？如果不是能否说下这个Exclude选项的确切解释？

在此提前谢谢各位耐心为小弟解答问题，也谢谢每个顶贴的兄弟


补充：晕，刚发现了一个问题，ARP规则少加了个： 阻止非本机MAC连出，目标ANY。
如果加上这条的话，对ARP的设置是否是正确的？

再补充：刚把 阻止非本机MAC连出，目标ANY  这条写进了全局，但是再次断网了。。。
        英文：block ip out from mac 00-13-e8-98-9c-2f to ip any where protocol is any
        天啊，这到底是咋地回事啊！

[ 本帖最后由 huang88488 于 2008-9-29 22:56 编辑 ]

distance0

通过简单的推断你就知道comodo没有防御arp功能，protocol里面只有三种tcp、udp、icmp，最后一项的ip其实等于tcp+udp+icmp，但这样写太长了。这个ip如果包括了arp，上面就应该有一项单独的arp。

twtxk

楼上的意思是毛豆防不了ARP

distance0

完全防不了，没有这个功能怎么防？

yitiaoxiaohe

毛豆只能简单防一下ARP，如图，两个勾打上即可：

如楼上所说，不要在全局规则里额外设置了，毛豆并不是传统包过滤的墙，其SPI里也没有ARP协议的check。
如想较好的防ARP，可以加专门的ARP防火墙。