Crist J. Clark опубликовал патч реализующий для ipfw2 простейшую защиту от спуфинга адресов (аналог Cisco "ip verify unicast reverse-path").

Параметр "verrevpath" указанный в ipfw правиле (например, ipfw add 100 pass ip from any to any verrevpath) позволяет заблокировать прохождение пакетов попадающих в систему не через корневой для этого пакета интерфейс (т.е. есть ed0 - сеть 192.168.0.0 и ed1 - 10.0.0.0, если пакет 10.0.1.1 придет с ed0 - то он будет заблокирован verrevpath).