История изменений

Что мешает воспользоваться ebtables и резать МС там в filter/output ? Это будет более правильно, если нужно отрезать МС только через один из портов моста.

На мой взгляд iptables в filter/OUTPUT еще не знает physdev-out, да и в случае с МС это будут все порты моста. Есть подозрение, что либо документация неполная, либо она устарела. Для ядра 3.18 physdev-out будет работать только если в ядре включено CONFIG_BRIDGE_NETFILTER и только для пакетов прошедших через FORWARD. Попробуй добавить в iptables/filter/OUTPUT правило -j LOG для твоего МС-пакета. Если в логах будет виден «PHYSOUT=», то я не прав.

А картинка у тебя неудачная. Вот читаемая схема.

Что мешает воспользоваться ebtables и резать МС там в filter/output ? Это будет более правильно, если нужно отрезать МС только через один из портов моста.

На мой взгляд iptables в filter/OUTPUT еще не знает physdev-out, да и в случае с МС это будут все порты моста. Есть подозрение, что либо документация неполная, либо она устарела. Для ядра 3.18 physdev-out будет работать только если в ядре включено CONFIG_BRIDGE_NETFILTER и только для пакетов прошедших через FORWARD. Попробуй добавить в iptables/filter/OUTPUT правило -j LOG для твоего МС-пакета. Если в логах будет виден «PHYSOUT=», то я не прав.

А картинка у тебя неудачная. Вот читаемае схема.

Что мешает воспользоваться ebtables и резать МС там в filter/output ? Это будет более правильно, если нужно отрезать МС только через один из портов моста.

На мой взгляд iptables в filter/OUTPUT еще не знает physdev-out, да и в случае с МС это будут все порты моста. Есть подозрение, что либо документация неполная, либо она устарела. Для ядра 3.18 physdev-out будет работать только если в ядре включено CONFIG_BRIDGE_NETFILTER и только для пакетов прошедших через FORWARD. Попробуй добавить в iptables/filter/OUTPUT правило -j LOG для твоего МС-пакета. Если в логах будет виден «PHYSOUT=», то я не прав.

А картинка у тебя неудачная вот читаемае схема.