Linux桥接网络中虚拟机流量走FORWARD链，需用iptables -m physdev匹配物理接口进出方向；physdev-in/out仅在FORWARD链生效，且只接受物理网卡名（如eth0），不支持br0等桥接名。
在 Linux 桥接网络（如 KVM 的 br0）中，虚拟机流量经物理网卡透传后，不会经过常规的 INPUT/OUTPUT 链，而是走 FORWARD 链，并且内核无法通过 -i eth0 或 -o eth0 直接识别桥接帧的原始物理入口/出口——因为数据包在桥接层已剥离或重写 MAC 层信息。
这时就需要 iptables -m physdev 扩展模块，它专为透明桥接防火墙设计，能匹配桥接过程中真实进出的物理设备。
一、确认 physdev 模块可用
lsmod | grep physdev
若无输出，加载模块：
modprobe br_netfilter modprobe ipt_physdev
注意：
br_netfilter是前提，它启用桥接数据包进入 netfilter 流程；CentOS 7+/RHEL 8+ 可能需额外设置sysctl -w net.bridge.bridge-nf-call-iptables=1并写入/etc/sysctl.conf。
二、physdev 关键匹配选项说明
| 选项 | 含义 | 典型用途 |
|---|---|---|
--physdev-in |
数据包从哪个物理口进入桥（如 eth0） |
控制宿主机外网口进来的桥接流量 |
--physdev-out |
数据包从哪个物理口离开桥（如 eth0） |
控制桥发往物理网的出口流量 |
--physdev-is-bridged |
匹配所有被桥接转发的数据包（无论 in/out） | 快速放行整座桥的转发流 |
--physdev-is-in / --physdev-is-out
|
布尔判断，等价于 --physdev-in eth0 或 --physdev-out eth0 的简写 |
语义更清晰，推荐用于策略描述 |
✅ 注意：--physdev-in 和 --physdev-out 只在 FORWARD 链生效，不能用于 INPUT/OUTPUT。
三、典型桥接防火墙规则示例
假设：
- 物理网卡是
eth0 - 桥接设备是
br0 - 虚拟机通过
br0上网，宿主机本身不直接用eth0通信（即eth0已桥接到br0，IP 配在br0上）
✅ 允许桥接流量双向通过（基础通行）
iptables -I FORWARD -m physdev --physdev-is-bridged -j ACCEPT
✅ 仅允许从 eth0 进入桥、再转发给虚拟机的流量
iptables -I FORWARD -m physdev --physdev-in eth0 -j ACCEPT
✅ 禁止虚拟机通过 br0 主动向外发起连接（仅响应请求）
iptables -I FORWARD -m physdev --physdev-out eth0 -m state --state NEW -j DROP
✅ 限制某台虚拟机（MAC 已知）只能访问特定外网端口（如仅 HTTPS）
iptables -I FORWARD -m physdev --physdev-in br0 -m mac --mac-source 52:54:00:11:22:33 -p tcp --dport 443 -j ACCEPT iptables -I FORWARD -m physdev --physdev-in br0 -m mac --mac-source 52:54:00:11:22:33 -j DROP
⚠️ 注意：
--physdev-in br0是无效的，physdev-in/out只接受物理接口名（eth0、enp1s0），不接受桥接名。虚拟机侧应匹配--physdev-in eth0（进桥）或--physdev-out eth0（出桥），而非br0。
四、保存与验证
保存规则（CentOS/RHEL）：
service iptables save # 或 iptables-save > /etc/sysconfig/iptables
查看是否生效（带 physdev 信息）：
iptables -L FORWARD -v -n --line-numbers | grep physdev
验证桥接包是否命中：
- 在
FORWARD链添加一条带-j LOG的规则（放在前面），观察/var/log/messages中是否有日志； - 使用
tcpdump -i eth0和tcpdump -i br0对比收发，确认桥接路径。
不复杂但容易忽略
