关于在桥接模式下l7filter过滤的问题? -附使用脚本

codystar

请问各位高手，在NAT模式下使用l7filter模块进行过滤都没问题，现在问题出现在如果我改用双网卡做bridge，其他规则和过滤都能生效，好象就是这个l7filter模块过滤不起任何作用，用iptables-save 查看也没发现抓到任何数据包，始终是0。大家有没有什么好方法。虽然说bridge是2层的概念，但是我觉得应该也跟3层有关系。

我的部分脚本.谢谢各位

#CLEAR FIRWALL RULE
${IPTABLES} -F
${IPTABLES} -t mangle -F
${IPTABLES} -t nat -F

#RESETTING DEFAULT POLICY
${IPTABLES} -P OUTPUT ACCEPT
${IPTABLES} -P INPUT DROP
${IPTABLES} -P FORWARD DROP

#PERMIT POLICY
${IPTABLES} -A INPUT -i lo -p tcp -j ACCEPT
${IPTABLES} -A INPUT -p icmp -j ACCEPT
${IPTABLES} -A INPUT -p tcp --dport 22 -j ACCEPT
${IPTABLES} -A INPUT -p tcp --sport 22 -j ACCEPT
${IPTABLES} -A INPUT -p gre -j ACCEPT
${IPTABLES} -A FORWARD -p icmp -j ACCEPT
${IPTABLES} -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
${IPTABLES} -A FORWARD -p tcp -m multiport --port 80,1494,1723,3389 -j ACCEPT
${IPTABLES} -A FORWARD -p udp -m multiport --port 53 -j ACCEPT
${IPTABLES} -A FORWARD -m layer7 --l7proto exe -j DROP
${IPTABLES} -A FORWARD -m layer7 --l7proto nimda -j DROP
${IPTABLES} -A FORWARD -m layer7 --l7proto dhcp -j DROP

codystar

白金大哥能帮忙解释一下吗？

platinum

内核？

codystar

现在用的内核是2.6.18.2的,有什么问题吗? 白金大哥有试验成功么?

platinum

2.6 内核在桥模式上在 netfilter 里的实现与 2.4 内核不同，好像这样做是不行的。。。。

codystar

那请教白金大哥了该怎么实现呢？ 我在google上找到有人实验成功的。不知道白大哥是如何成功的？

platinum

还没实现过。。。。

codystar

谢谢啊，等研究成功了告诉你