Estou tentando entender o módulo physdev iptables, e estou tendo problemas com a tabela nat, especialmente com a cadeia POSTROUTING. Então meu objetivo é fazer SNAT no tráfego de saída na interface bridge usando o módulo physdev.
Aqui está minha mini configuração de rede: PC1 - (enp6s0f0)BRIDGE(enp6s0f1) - PC2 . PC1 é 192.168.100.1/24 e PC2 é 192.168.100.2/24.
Minha configuração de ponte é:
ifconfig enp6s0f0 down
ifconfig enp6s0f1 down
brctl addbr br0
brctl addif enp6s0f0 br0
brctl addif enp6s0f1 br0
ifconfig enp6s0f0 0.0.0.0 up
ifconfig enp6s0f1 0.0.0.0 up
ifconfig br0 169.254.100.1/32 up
essa configuração de ponte funciona bem e o PC1 e o PC2 podem se comunicar entre si e não com a ponte, como esperado.
Agora, por exemplo, quero configurar a comunicação entre os PCs e a BRIDGE de tal forma que o PC1 veja a BRIDGE como 192.168.100.100 e o PC2 veja a BRIDGE como 192.168.100.200.
Então adiciono a rota:
route add -net 192.168.100.0/24 dev br0
e agora se eu fizer ping da BRIDGE para qualquer um dos PCs, posso ver o tráfego de saída da bridge com o IP de origem 169.254.100.1, conforme esperado.
Agora é tudo sobre iptables. Minhas regras:
iptables -t nat -A POSTROUTING -s 169.254.100.1 -m physdev --physdev-out enp6s0f0 -j SNAT --to-source 192.168.100.100
iptables -t nat -A POSTROUTING -s 169.254.100.1 -m physdev --physdev-out enp6s0f1 -j SNAT --to-source 192.168.100.200
Depois disso, espero que todo o tráfego de saída da ponte seja SNATed para 192.168.100.100 ou 192.168.100.200 dependendo do physdev-out, MAS isso não acontece. Por quê? Não sei. O que acontece é que as regras são ignoradas. iptables -t nat -vnL mostra que 0 pacotes correspondem à regra e tcpdump -i enp6s0f0 -p arp -n mostra que todas as solicitações arp têm o antigo endereço IP de origem 169.254.100.1.
Também é importante observar que tenho o módulo br-netfilter carregado e o bridge-nf-call-iptables definido como 1.
O sistema operacional que estou usando é o Ubuntu 20.04, mas tentei outros também. Também procurei informações na Internet e sei que há várias outras maneiras de obter o comportamento que desejo, mas quero descobrir por que esse método em particular não funciona.
Também dei uma olhada em https://ebtables.netfilter.org/br_fw_ia/br_fw_ia.html e depois de ler tenho a sensação de que tudo deve funcionar. Por favor me ajude