![如何通过 nftables 创建透明/在线/桥接防火墙?](https://linux22.com/image/711273/%E5%A6%82%E4%BD%95%E9%80%9A%E8%BF%87%20nftables%20%E5%88%9B%E5%BB%BA%E9%80%8F%E6%98%8E%2F%E5%9C%A8%E7%BA%BF%2F%E6%A1%A5%E6%8E%A5%E9%98%B2%E7%81%AB%E5%A2%99%EF%BC%9F.png)
我在配置 nftables 时遇到困难。
table bridge filter {
chain input { type filter hook input priority -200; policy accept;}
chain forward {
type filter hook forward priority -200; policy drop;
ip protocol icmp counter accept;
}
chain output { type filter hook output priority 200; policy accept;}
我有几个问题。规则ip protocol icmp counter accept;
不起作用。计数器在一分钟左右显示 +1 个数据包,并且 ping 不起作用。我做错了什么?
答案1
您必须先允许 ARP 解析工作。本地 IP 解析依赖于 ARP:
nft add rule bridge filter forward ether type arp accept
否则,当尝试 ping 时,arp 解析会失败,并且您会在尝试跨桥的节点上看到类似这样的信息:
# ip neigh show eth0
192.168.1.7 dev eth0 FAILED