[bridge]加入到bridge中的interface能直接与ip层通信吗？

dreamice

lan侧发起的ping包的目的mac是router本身的mac，而不是wan侧PC的mac，所以这个ping包会通过br0传入ip层，我分别在ip_rcv()和ip_finish_output2()加入了打印信息，也能够证明我的说法是正确的，并且router成功的做了SNAT。但是我在wan侧的pc上却没有抓到ping包，所以我只能怀疑是router的L3没有成功的把ping包传到router的L2中去了；

你的意思是ping包的回复没有出去？

dreamice

你应该写一条路由，比如说到192.168.1.0/24的包，从哪个dev出去，否则，br0出去的包不知道从哪个口出去的话，是没办法到达目的地的。

new_learner

原帖由 dreamice 于 2009-3-21 00:03 发表

你的意思是ping包的回复没有出去？

不是。
我的意思是lan侧pc 发起的ping request包，到达了router的ip层，再往router的L2下传时没有成功。所以ping的 request包都没有被router转发出去。

new_learner

原帖由 dreamice 于 2009-3-21 00:05 发表
你应该写一条路由，比如说到192.168.1.0/24的包，从哪个dev出去，否则，br0出去的包不知道从哪个口出去的话，是没办法到达目的地的。

8楼的路由表中有这么一项：

1. 
   
2. 175.18.214.0    *               255.255.255.0   U     0      0        0 eth0
   

复制代码

ping request 包也应该能匹配到这一项，但实际上这个包并没有从eth0中发出去。

Godbach

当然，经桥路由的包，是会过Netfilter的prerouting，forward和postrouting点的，这个可能理解起来有违桥在L2，但实际确实是这样的。

这几个点是专指桥的几个hook点，和实际的IP层的几个hook点是完全一样的吗。

dreamice

我建议你先检查一下防火墙策略。如果说路由可达的话，你路由也设置了，应该是没有问题的

dreamice

原帖由 Godbach 于 2009-3-21 09:32 发表

这几个点是专指桥的几个hook点，和实际的IP层的几个hook点是完全一样的吗。

桥在这方面和ip层的netfilter有点混杂的感觉，可以说是完全一样的

Godbach

我的意思是lan侧pc 发起的ping request包，到达了router的ip层，再往router的L2下传时没有成功。所以ping的 request包都没有被router转发出去。

如果你是从lan侧的pc发到wan侧pc的ping包，按理说会通过ARP得到wan侧pc的MAC啊，这样桥为什么没有把这个ping包转发呢，反而要走IP层。

Godbach

原帖由 dreamice 于 2009-3-21 09:35 发表


桥在这方面和ip层的netfilter有点混杂的感觉，可以说是完全一样的

是吗，前一段我在看的时候，就是发向桥也有对应的hook点，不知道和IP层的是什么关系。

看来理论上应该是不用走IP层的，而Linux上是那样实现了吧

new_learner

原帖由 dreamice 于 2009-3-21 09:34 发表
我建议你先检查一下防火墙策略。如果说路由可达的话，你路由也设置了，应该是没有问题的

检查过iptables和ebtables的防火墙了，应该与防火墙无关。
如果把eth0从br0中拿掉

1. 
   
2. brctl defif br0 eth0
   

复制代码

一切就正常了。