shorewall document translate--"Fool's firewall"

原文链接：

Fool's firewall傻瓜防火墙：

有时，某人会将防火墙的外网接口与内网接口接入同一下交换机时，这里将这种防火墙称为Fool‘s Firewall

当外网接口支持广播时，这种配置有两个非常坏的缺点：

1、非常不安全

2、无论是上由路由器还是本地系统都可以传入数据包到错误的接口。

安全风险：

1、可以轻易绕过防火墙的安全管制

2、ARP Roulette（ARP轮盘）：由于LINUX IP协议栈在ARP响应上有一些意外的问题。它会在任意端口响应ARP协议的“who has"请求时，而并非具备正确地址的接口。也就是说有一些内部IP发送"who has"请求时，内网接口回复的MAC地址，可能是外网接口的MAC地址，导致部分内网IP与MAC的映射关系错误，从而无法正确与网关通信。

同样，也会存在外网的IP与内网的MAC地址建立错误的连接，导致外网通信有问题。