包过滤规则应该阻止哪三种IP包进入内部网

包过滤规则应该阻止以下三种IP包进入内部网：

• 源地址是内部地址的外来数据包：这类数据包很可能是为实行IP地址诈骗攻击而设计的，其目的是装扮成内部主机混过防火墙的检查进入内部网。

• 指定中转路由器的数据包：这类数据包很可能是为绕过防火墙而设计的数据包。

• 有效载荷很小的数据包：这类数据包很可能是为抵御过滤规则而设计的数据包，其目的是将TCP包头封装成两个或多个IP包送出，比如，将源端口和目的端口分别放在两个不同的TCP包中，使防火墙的过滤规则对这类数据包失效，这种方法称为TCP碎片攻击。