Iptables - Pont et chaîne avant

J'ai configuré un pont Ethernet br0qui contient deux interfaces eth0ettap0

brctl addbr br0
brctl addif eth0
brctl addif tap0
ifconfig eth0 0.0.0.0 promisc up
ifconfig tap0 0.0.0.0 promisc up
ifconfig br0 10.0.1.1 netmask 255.255.255.0 broadcast 10.0.1.255 

Ma FORWARDstratégie de chaîne par défaut estDROP

iptables -P FORWARD DROP

Quand je n'ajoute pas la règle suivante, le trafic ne passe pas par le pont.

iptables -A FORWARD -p all -i br0 -j ACCEPT

Pour autant que je comprends, iptablesest uniquement responsable de la couche IP.

ebtables devrait être responsable du filtrage du trafic sur le pont Ethernet.

Alors pourquoi dois-je ajouter la règle ACCEPT dans la chaîne FORWARD d'iptable?

En raison du code br-nf qui est disponible en tant que patch pour linux 2.4 et utilisé dans linux 2.6:

Le code br-nf fait passer les trames / paquets IP pontés à travers les chaînes iptables. Ebtables filtre sur la couche Ethernet, tandis que iptables ne filtre que les paquets IP.

Étant donné que le trafic sur lequel vous travaillez est IP, des iptablesrègles s'appliquent toujours car br-nf transmet les paquets pontés à iptables.

Ceci est une excellente ressource pour lire sur l'interaction et celui-ci détaille les fonctionnalités du code br-nf , y compris comment désactiver tout ou partie des fonctionnalités (c'est-à-dire ne pas transmettre le trafic de pont à iptables).

Vous pouvez désactiver ce comportement (laisser iptables gérer les paquets pontés) en tapant:

echo "0" > /proc/sys/net/bridge/bridge-nf-call-iptables

(voir http://ebtables.sourceforge.net/documentation/bridge-nf.html )

Si vous n'avez pas besoin d'utiliser iptables avec le pont de votre système, vous pouvez le désactiver définitivement en utilisant l'une des méthodes suivantes:

1. Ajout d'une règle iptables:

iptables -I FORWARD -m physdev --physdev-is-bridged -j ACCEPT

2. Ou éditez /etc/sysctl.conf:

net.bridge.bridge-nf-call-ip6tables = 0 net.bridge.bridge-nf-call-iptables = 0 net.bridge.bridge-nf-call-arptables = 0

Les chaînes ebtables ne verront pas les trames entrer sur un port de pont sans transfert. Pourrait y jeter un œil: http://ebtables.sourceforge.net/br_fw_ia/br_fw_ia.html