iptables на proxmox: не удается заблокировать транзитный трафик

Ну во первых tcpdump фиолетово на iptables. А во вторых если установлено bridge-nf-call-iptables=0 то через бридж проходят все пакеты минуя iptables.

Добрый день! bridge-nf-call-iptables не установлено вообще. Есть ли смысл настраивать прохождение пакетов через iptables гипервизора для моста, с целью отсекать по черному списку дублирование пакетов на виртуалки? Вторая цель - снижение нагрузки при таком транзите, все это дублируется на софтовые сетевые всех виртуалок.

Добавлю - tcpdump показывает эти пакеты на гипервизоре - это нормально, я понимаю. Я хотел бы чтобы они не доходили до виртуалок.

В сети написано, что -t raw не имеет -j DROP и т.д. Только NOTRACK. На практике -j DROP работает, я провел эксперимент. Пинговал с левой машины виртуалку, на гипервизоре загнал адрес этой машины в -t raw PREROUTING -j DROP и пинг прекратился (ответы от виртуалки прекратились). Напоминаю - пинговал виртуалку, а загонял в DROP на гипервизоре.

По итогу запутался)

Всю фильтрацию надо проводить в таблице filter, блокировать пакеты можно и в других таблицах но это неправильно.

Периодически начинает валить паразитный трафик, где ни источник, ни назначение не соответствуют моим адресам:

Не вижу проблемы, это не ваш трафик а соседей (Вы зачем соседей подслушиваете?).

я был бы рад их не подслушивать, но иногда их «пробивает». Причем по вхуизу расположение далеко не соседское.

Проблема в том, что этого трафика бывает так много, что сервер начинает ложиться. Этот трафик дублируется на все виртуалки, нагружая цпу. Это и есть моя проблема.

Конечно, вопросы к ДЦ, но бывает они их решают не быстро. Да и интересно, что делать, как быть..

Если трафик касается гипервизора или виртуалок - он фильтруется. А такой вот транзитный - не фильтруется. Подозреваю, его особо и фильтровать не нужно. Нужно не допускать его на виртуалки. Но как?

пробовал и в фильтр, и в рав.. Если трафик касается гипервизора или виртуалок - это срабатывает, если он чужой - нет.

может быть у тебя стоит «не дропать марсианские пакеты»?

Проблема в том, что этого трафика бывает так много, что сервер начинает ложиться. Этот трафик дублируется на все виртуалки, нагружая цпу.

Я все равно не понимаю, каким образом оно может нагружать цпу. Вот смотрите, возмем не управляемый свич в локалке, запустим tcpdump который в (promiscuous работает) и естественно увидим весь трафик локалки.