Linux桥接环境下Iptables无法捕获指定数据包的问题及解决方案咨询

你遇到的这个问题其实是Linux桥接的默认行为导致的——默认情况下，桥接的二层数据包不会经过iptables的三层处理链（比如你用的FORWARD链），所以你的规则根本没机会匹配到目标数据包。下面给你一步步的解决方案和替代思路：

一、开启桥接数据包的iptables三层处理支持 #

这是最直接的解决方式，让桥接的数据包能进入iptables的处理流程：

1. 临时生效配置：
   执行以下命令开启桥接与iptables的交互：

   modprobe br_netfilter
   sysctl -w net.bridge.bridge-nf-call-iptables=1
   

   其中br_netfilter模块是让桥接数据包能被iptables处理的核心模块，如果你的系统没加载过这个模块，必须先执行modprobe命令。
2. 永久生效配置：
   • 编辑/etc/modules-load.d/br_netfilter.conf文件，添加一行：br_netfilter，确保开机自动加载该模块
   • 编辑/etc/sysctl.conf或者/etc/sysctl.d/99-bridge.conf，添加一行：net.bridge.bridge-nf-call-iptables=1
   • 执行sysctl -p让配置立即生效

完成后，你可以重新加载你的iptables规则，然后用iptables -t mangle -L FORWARD -nv查看规则的匹配计数，或者用tcpdump -i br0 dst 190.191.60.136 and tcp dst port 55555确认数据包是否被规则捕获。

二、替代方案：使用ebtables（二层防火墙）处理桥接数据包 #

如果开启br_netfilter对你的场景有性能顾虑（毕竟会把二层数据包引入三层处理流程），可以用专门处理桥接流量的ebtables来将目标数据包转到NFQUEUE：

ebtables -t filter -A FORWARD -p IPv4 --ip-dst 190.191.60.136 --ip-proto tcp --ip-dport 55555 -j NFQUEUE --queue-num 1

ebtables直接在二层处理桥接流量，不需要开启额外的三层转发支持，适合纯桥接场景的流量捕获。

三、NetfilterQueue Python脚本的关键注意事项 #

不管用哪种方式把数据包转到NFQUEUE，你的Python脚本都需要注意两点：

• 必须以root权限运行（或者给脚本赋予CAP_NET_ADMIN权限），否则无法操作网络队列
• 修改数据包payload后，必须重新计算IP和TCP的校验和！如果不重新计算，修改后的数据包会被网络设备丢弃。你可以用Scapy库来简化这个操作，比如：

  from scapy.all import IP, TCP
  # 假设packet是从NFQUEUE获取的数据包
  scapy_pkt = IP(packet.get_payload())
  # 修改payload
  scapy_pkt[TCP].payload = b"your modified payload here"
  # 重置校验和，Scapy会自动重新计算
  del scapy_pkt[IP].chksum
  del scapy_pkt[TCP].chksum
  # 把修改后的数据包放回队列
  packet.set_payload(bytes(scapy_pkt))
  packet.accept()
  

备注：内容来源于stack exchange，提问作者seq16