Tcpdump/Iptables на интерфейсе моста без назначенного IP-адреса

Question

Я настроил интерфейс моста без IP-адреса.

$ brctl addbr br0
$ brctl addif tap0
$ brctl addif tap1
$ ifconfig br0 up

Как видно выше, этот мост соединяет 2 интерфейса TAP, настроенных через OpenVPN.

Я могу пинговать и отправлять трафик между двумя интерфейсами TAP без каких-либо проблем, однако всякий раз, когда я пытаюсь выполнить tcpdump интерфейса моста, я не вижу никакого проходящего трафика.

Это потому, что интерфейсу моста не назначен IP? Есть ли способ обойти это, чтобы можно было видеть трафик (и потенциально блокировать через iptables или что-то подобное) в интерфейсе моста без необходимости назначать IP интерфейсу моста?

Answer 1

Если вы можете пинговать, в вашем интерфейсе моста есть трафик. Вы можете наблюдать за трафиком, используя соответствующие опции tcpdump:

tcpdump -elnXXi br0

Таким же образом, вы можете полностью отфильтровать этот трафик, используя iptables, принимая во внимание, что он будет работать только на уровне IP. Вам понадобится, ebtablesесли вам нужно отфильтровать трафик на уровне 2 (Ethernet)