带网桥的防火墙:如何过滤

Question

我有两个接口: eth0 (公共地址)和lxcbr0 ( 10.0.3.1 )。

我有一个LXC客户运行ip 10.0.3.10

这是我的壁炉配置：

version 5

trusted_ips=`/usr/local/bin/strip_comments /etc/firehol/trusted_ips`
trusted_servers=`/usr/local/bin/strip_comments /etc/firehol/trusted_servers`

blacklist full `/usr/local/bin/strip_comments /etc/firehol/blacklist`

interface lxcbr0 virtual
    policy return 
    server "dhcp dns" accept 

router virtual2internet inface lxcbr0 outface eth0
    masquerade
    route all accept

interface any world
    protection strong

    #Outgoing these protocols are allowed to everywhere
    client "smtp pop3 dns ntp mysql icmp" accept

    #These (incoming) services are available to everyone
    server "http https smtp ftp imap imaps pop3 pop3s passiveftp" accept

    #Outgoing, these protocols are only allowed to known servers
    client "http https webcache ftp ssh pyzor razor" accept dst "${trusted_servers}"

在我的主机上，我只能连接到端口80上的“可信服务器”。在我的客人中，我可以在每个主机上连接到端口80。我以为那火会阻止它的。

有什么东西我可以添加/更改，以便我的客人(S)继承eth0接口的规则？

Answer 1

您希望打开net.bridge.bridge-nf-call-iptables sysctl，它将通过iptables运行桥接数据包，然后再传递它们。您可能需要设置不同的规则，这取决于您的网桥是如何安装的，但是如果打开该sysctl，您肯定可以使用iptable通过网桥过滤数据包。