На eth0 может приходить нетегированный трафик

Ок, перефразируем немного

Можно ли какими-либо настройками сделать так, чтобы весь ip стек видел на eth0 _только_ нетегированый трафик?

Подозреваю, что ebtables.

Но ты хочешь странного на мой взгляд.

Подозреваю, что ebtables.

Но, например, тцпдампом трафик должен быть виден и после этого. Ну и не факт, что его vlan-device после этого работать будет.

Можно ли какими-либо настройками сделать так

А давай лучше вернёмся к истокам и ещё раз послушаем детальное описание задачи и что именно мы тут пытаемся решить?

хочу странного

да, вероятно. сеть была настроена - маршрутизации, фаерволлы и весь обвес. я добавил wifi точки доступа. для разделения трафика точки живут в отдельных vlan. С моей точки зрения, всё логично - есть vlan, есть интерфейсы eth0.7, eth0.8 к этим vlan привязанные. И я по наивности считал, что eth0 в таком случае будет работать как порт для native vlan. Я понимаю, что можно убрать ip адрес с eth0, завести ещё один vlan, vlan интерфейс, и пустить не-wifi трафик через него, но это потребует перелопатить существующую структуру и настройки, кроме того, я не совсем разобрался, как назначить на интерфейс работу с native vlan, даже если это не parent интерфейс, а виртуальный vlan интерфейс. Я просто не очень хорошо понимаю работу стека Линукс. Если вы скажете, что так, как я хочу, сделать нельзя, мне придётся пересмотреть существующую схему сети. Я хотел этого избежать - но нет, так нет. Спасибо!

Честно говоря это мало что прояснило...
eth0 - это L1,физика, все пакеты в любом случае приходят на него.
Почему тебя это заботит - для меня загадка,потому что на L2 и L3 пакеты разруливаются как тебе заблагорассудится

native vlan это то, что настраивается на порту управляемого свича. Всем нетегированным кадрам, которые будут приходить на этот порт свич припишет vlan id, совпадающий с номером native vlan. А линуксе я такого выражения не слышал.

не совсем

если свич припишет, то это default vlan а native это именно нетегированный трафик.

В общем, ситуация понятна. parent interface и виртуальные vlan интерфейсы просто имеют разную логику работы. Ладно, перекроим сеть, с ленью надо бороться!

Можешь.

Ели на коммутаторе настроен native vlan, то на eth0 будет он, а на eth0.7 и eth0.8 7 и 8 соответственно.

На коммутаторе так. А в Линуксе нет. на eth0.7 и 8 принимают тегированые пакеты, а eth0 - все. В том числе 7 и 8.