2层数据包过滤问题

zzappled

前提：
     比如pppoe数据包，该数据包时2层数据包，有两个参数（bridge-nf-filter-pppoe-tagged  bridge-nf-filter-vlan-tagged)可以实现pppoe和vlan的数据包通过iptables，从网上看还有个ebtables，也可以实现对2层数据包的过滤！

     1.iptables工作在三层,无法对2层数据包进行过滤，只有在做网桥时可以通过参数简单的实现pppoe和vlan的2层数据包过滤。
     2.ebtables即是以太网桥防火墙，安装完用户空间工具就可以使用ebtables来过滤网桥的数据包，也是在网桥情况下对数据包过滤。


我的问题就是在不是网桥的情况下怎样对2层数据包进行过滤

烟雾弹下的真实

回复 1# zzappled

可以尝试该内核，自己写钩子...

Godbach

数据包都是按照流程处理的，你找到二层的处理位置，添加你自己的处理函数就可以了。或者参考桥的实现

zzappled

在我看来好像暂时也没什么别的方法来实现，只能写规则程序来进行过滤了

Godbach

为什么不用桥了啊

Godbach

ebtables 用的不多。你用来主要过滤哪些信息啊

zzappled

如果用linux进行拨号，然后代理内部上网，那么就用不到桥了，prerouting链好像匹配不到源ip和目地ip之类的，所以过滤不了数据包，或者说只能匹配到内网用户上传的数据包，而不能过滤ppp0的数据包

Godbach

prerouting链好像匹配不到源ip和目地ip之类的，

你是说流入的流量吗，如果走的是以太网的话，应该是有 源和目的 IP 的

zzappled

还是pppoe拨号，代理内部上网，我的ip是192.168.2.10，那么写入规则，
如：iptables -t mangle -A PREROUTING -d 192.168.2.10 -j DROP，好像没有匹配到此条规则，还是能上网，相反写入：
iptables -t mangle -A PREROUTING -s 192.168.2.10 -j DROP，我就不能上网了

duanjigang

呵呵，是否能参考桥模块挂载点的那段代码，把自己写的模块也挂在对应位置处。