Evitar tráfego para endereços mac usando ebtables

Question

Eu tenho uma interface em um host remoto:

2: eth0: <BROADCAST,MULTICAST,UP,10000> mtu 1500 qdisc pfifo_fast qlen 1000
    link/ether 00:05:68:02:68:dd brd ff:ff:ff:ff:ff:ff
    inet 192.168.3.1/24 brd 192.168.3.255 scope global eth0

e na minha máquina local eu tenho:

2: eth6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:13:3b:0f:24:fc brd ff:ff:ff:ff:ff:ff
    inet 192.168.3.150/24 brd 192.168.3.255 scope global eth6
       valid_lft forever preferred_lft forever
    inet6 fe80::213:3bff:fe0f:24fc/64 scope link 
       valid_lft forever preferred_lft forever

E faça:

ebtables -A OUTPUT -d 00:05:68:02:68:dd -j DROP

Então eu recebo:

Bridge chain: OUTPUT, entries: 1, policy: ACCEPT
-d 0:5:68:2:68:dd -j DROP

Eu faço o acima para bloquear toda a comunicação ao endereço MAC (na interface remota) 00: 05: 68: 02: 68: dd

No entanto, ainda posso pingar minha interface remota usando 192.168.3.1. Por quê? Tenho que habilitar eptables de alguma forma ou algo assim?

    

Answer 1

Ebtables age apenas em quadros passando por uma interface de ponte.

Se você quiser bloquear um site com base em seu endereço MAC, faça uma ponte e adicione sua interface a ele. Em seguida, direcione o tráfego pela ponte e use ebtables para impedir o tráfego da ponte para esse endereço MAC, como tal:

ebtables -A OUTPUT -d 00: 05: 68: 02: 68: dd -j DROP

Funciona.

    

Answer 2

Poderia ser que ebtables seja apenas para pontes e não apenas para qualquer interface Ethernet?

ebtables - Administração da tabela de quadros de ponte Ethernet