☰

br_netfilter 内核模块到底控制什么？

tag-icon • tag-icon iptables kernel-modules bridge
br_netfilter 内核模块到底控制什么？

我试图清楚地了解br_netfilterLinux 内核模块到底做了什么（我知道它与网络有关）。

我在这里提出的简单问题如下：

举例说明启用此模块后我可以执行哪些操作，而禁用此模块时我不能执行此操作？我原以为这与 有关iptables，但是当禁用/启用该模块时，我总是能够运行相同的iptables命令。

注意：由于我不确定禁用内核模块不会杀死我的计算机，因此我创建了一个测试 AWS EC2 实例来测试这一点。

编辑：为了澄清，我想看到的是一组简单的步骤，又名运行 X、Y、Z 命令，启用时，系统按预期运行，禁用时，则不会。

答案1

首先，为了使该模块对您有用，您必须首先桥接两个或多个网络接口（物理或虚拟）之间的流量。

例如，如果您想在系统上运行 QEMU/KVM 虚拟机，并且能够将虚拟机作为单独的 IP 地址呈现给网络（= 在虚拟机中设置服务不需要端口转发），您可以运行主机系统的物理网络接口和虚拟机的虚拟网络接口之间的桥梁。

或者，如果您希望运行hostapd自己的 WiFi 接入点并且不希望无线网络成为单独的 IP 子网，则可以在有线和无线网络接口之间运行桥接器。

brctl show基本上，一旦or的输出ip link show type bridge不是空列表，您就可以ebtables根据 MA​​C 地址对通过网桥的流量设置限制。

如果这两个命令没有显示输出，那么br_netfilter对您来说没有任何用处，因为您没有使用br_netfilter将进行过滤的子系统。即使他们做显示输出，如果您需要的只是在网桥上进行基于 MAC 的过滤，那么您仍然br_netfilter根本不需要该模块。

但是，如果您想通过网桥中的 IP 地址或 TCP/UDP 端口进行过滤，该怎么办？然后你就可以跑了echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables。br_netfilter这就是启用该模块的原因并允许您将iptables规则应用于桥接流量。

未经测试的示例，假设我理解正确：

您正在运行一个虚拟化主机，该主机运行一个 KVM 虚拟机，该虚拟机具有一个vifX从主机上看到的命名的虚拟网络接口。虚拟网络是通过桥接器实现的br0，桥接器上连接有物理接口eno1和虚拟接口vifX。 VM 的 IP 地址/掩码为 10.6.6.6/24。在同一网段内，可通过 直接访问eno1，还有另一台 IP 地址/掩码为 10.6.6.100/24 的物理服务器。

最初，可以从 10.6.6.100 到 10.6.6.6 建立 SSH 连接，反之亦然。您希望允许从 10.6.6.100 到 10.6.6.6 的连接，但阻止从 10.6.6.6 传出的 SSH 连接。

您可以通过网络接口制定标准连接跟踪 iptables FORWARD 规则：

iptables -A FORWARD -i vifX -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i vifX -p tcp --dport 22 -j DROP

但一开始它不起作用，因为你不是路由虚拟机与外界之间的流量；你是桥接。因此，您也可以br_netfilter将iptables规则应用于桥接流量：

 echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables

现在，物理主机 10.6.6.100 可以通过 SSH 连接到 VM 10.6.6.6，但该 VM 无法在任何地方与端口 22 建立传出 SSH 连接。甚至对于同一网段的其他主机也不行。

有关此处的更多信息ebtables：https://ebtables.netfilter.org/index.html

具体关于br_netfilter以及如何启用它：https://ebtables.netfilter.org/documentation/bridge-nf.html

相关内容