iptables-桥接和转发链

我有br0包含两个接口的设置以太网桥，eth0并且tap0

brctl addbr br0
brctl addif eth0
brctl addif tap0
ifconfig eth0 0.0.0.0 promisc up
ifconfig tap0 0.0.0.0 promisc up
ifconfig br0 10.0.1.1 netmask 255.255.255.0 broadcast 10.0.1.255 

我的默认FORWARD连锁政策是DROP

iptables -P FORWARD DROP

当我不添加以下规则时，流量不会通过网桥。

iptables -A FORWARD -p all -i br0 -j ACCEPT

据我了解，iptables它仅负责IP层。

ebtables 应该负责过滤以太网桥上的流量。

那么，为什么我必须在iptable的FORWARD链中添加ACCEPT规则？

由于br-nf代码可作为linux 2.4的修补程序使用并在linux 2.6中使用：

br-nf代码使桥接的IP帧/数据包通过iptables链。以太网层上的ebtables过滤器，而iptables仅过滤IP数据包。

由于您正在处理的流量是ip，因此iptables规则仍然适用，因为br-nf将桥接数据包传递到iptables。

这是一个很好的资源，以了解互动和这一个细节的功能BR-NF代码，包括如何禁用全部或部分功能的（即不是通过桥流量的iptables）。

您可以通过键入以下内容来禁用此行为（让iptables处理桥接数据包）：

echo "0" > /proc/sys/net/bridge/bridge-nf-call-iptables

（请参阅http://ebtables.sourceforge.net/documentation/bridge-nf.html）

如果您不需要将iptables与系统上的网桥一起使用，则可以使用以下任一方法永久禁用它：

1. 添加iptables规则：

iptables -I FORWARD -m physdev --physdev-is-bridged -j ACCEPT

2. 或编辑/etc/sysctl.conf：

net.bridge.bridge-nf-call-ip6tables = 0 net.bridge.bridge-nf-call-iptables = 0 net.bridge.bridge-nf-call-arptables = 0

易逝链不会看到帧进入非转发桥端口。可能要看一下：http : //ebtables.sourceforge.net/br_fw_ia/br_fw_ia.html