很不理解linux网桥与iptables的瓜葛.

Anzyfly

在桥的各个HOOK点的hook函数末尾又执行了一遍IP协议在相同HOOK点的上注册的hook函数，相当于一个数据包走到桥的prerouting点后先执行桥在此点上注册的hook函数，再执行ip协议在此点上注册的hook函数；

philarlala

http://blog.chinaunix.net/uid-30226910-id-5134197.html ，楼主可以看一下这篇博文，比较久之前写的，估计还能参考一下。