桥模式下匹配数据包？

zhanglin496

无线wlan和lan口桥接，如何通过iptables匹配wlan的数据包，我目前在2.6.21上测试是无法匹配到的（不知道是否是因为桥接后，netfilter无法匹配到桥下面接口的数据包，phydev也不行）。有大神知道原因和其他方法不。

smalloc

bridge不走iptables

smalloc

br_handle_frame调用NF_BR_PRE_ROUTING钩子
br_nf_pre_routing中如果 brnf_call_iptables开启，再调用NF_IP_PRE_ROUTING钩子，这时你的NF_IP_PRE_ROUTING挂的钩子可以被执行

zhanglin496

谢谢。本来是想用iptables通过接口区分无线和有线数据包（双向），看样子不好弄。回复 3# smalloc


   

瀚海书香

回复 1# zhanglin496

无线wlan和lan口桥接，如何通过iptables匹配wlan的数据包，我目前在2.6.21上测试是无法匹配到的（不知道是否是因为桥接后，netfilter无法匹配到桥下面接口的数据包，phydev也不行）。有大神知道原因和其他方法不。

physdev modules早就支持bridge的接口了，是你的内核版本太古董了。。。

有两种方案：
1.升级内核
2.自己backport physdev
   

zhanglin496

忘了使能/proc/sys/net/bridge/bridge-nf-call-iptables了，这下能匹配了。目前是有一个网桥br0
，下面桥接了端口eth0和wlan0，本意是想在FORWARD 链上匹配无线接口数据包，我在filter表加如下规则，
iptables -A FORWARD -m physdev --physdev-in wlan0 -j ACCEPT
iptables -A FORWARD -m physdev --physdev-out wlan0 -j ACCEPT

不过--physdev-out 使用时有如下提示：
using --physdev-out in the OUTPUT, FORWARD and POSTROUTING chains for non-bridged traffic is not supported anymore.
应该是非桥接的不能使用了。这样出去的无线数据包好像不能在FORWARD链上匹配到了。
回复 5# 瀚海书香


   

weishigoname

iptables 本身就是三层的钩子适配，bridge是二层的，用ebtable吧，ebtable是适配二层的钩子的