Правила ввода и вывода ebtables, разрешающие только пакеты DHCP, не работают ⇐ Linux

[Anonymous]

У меня есть топология, как показано ниже:
....enp0s9.256...
enp0s9.... .... br0 (1.1.1.1/24) (dhcp server)
....enp0s9.257...

enp0s9.256 и enp0s9.257 — это интерфейсы виртуальной локальной сети.
br0 — это мост с поддержкой виртуальной локальной сети.
root@kmaster:/home/user# bridge vlan show
port vlan ids
enp0s9.256 1 Egress Untagged
100 PVID

enp0s9.257 1 Egress Untagged
100 PVID

br100 1 Egress Untagged
100 PVID Egress Untagged


Ожидается, что на enp0s9.256 должен быть разрешен только трафик DHCP. enp0s9.257 может передавать любой трафик.
Ниже приведены правила, которые я настроил в ebtables:
root@kmaster:/home/user# ebtables -t filter -A OUTPUT -p IPv4 -o enp0s9.256 --ip-proto udp --ip-dport 67:68 -j ACCEPT
root@kmaster:/home/user# ebtables -t filter -A OUTPUT -o enp0s9.256 -j DROP
root@kmaster:/home/user# ebtables -t filter -A INPUT -p IPv4 -i enp0s9.256 --ip-proto udp --ip-dport 67:68 -j ACCEPT
root@kmaster:/home/user# ebtables -t filter -A INPUT -i enp0s9.256 -j DROP

После запуска процесса DORA я вижу, что трафик DHCP правильно попадает в цепочку INPUT, но не попадает в правило DHCP цепочки OUTPUT. Это соответствует правилу DROP. Может ли кто-нибудь предложить способ решения этой проблемы?
root@kmaster:/home/user# ebtables -L --Lc
Bridge table: filter

Bridge chain: INPUT, entries: 2, policy: ACCEPT
-p IPv4 -i enp0s9.256 --ip-proto udp --ip-dport 67:68 -j ACCEPT , pcnt = 0 -- bcnt = 0
-i enp0s9.256 -j DROP , pcnt = 0 -- bcnt = 0

Bridge chain: FORWARD, entries: 0, policy: ACCEPT

Bridge chain: OUTPUT, entries: 2, policy: ACCEPT
-p IPv4 -o enp0s9.256 --ip-proto udp --ip-dport 67:68 -j ACCEPT , pcnt = 0 -- bcnt = 0
-o enp0s9.256 -j DROP , pcnt = 0 -- bcnt = 0

Bridge chain: drop_chain, entries: 0, policy: ACCEPT
root@kmaster:/home/user# ebtables -L --Lc
Bridge table: filter

Bridge chain: INPUT, entries: 2, policy: ACCEPT
-p IPv4 -i enp0s9.256 --ip-proto udp --ip-dport 67:68 -j ACCEPT , pcnt = 2 -- bcnt = 656
-i enp0s9.256 -j DROP , pcnt = 0 -- bcnt = 0

Bridge chain: FORWARD, entries: 0, policy: ACCEPT

Bridge chain: OUTPUT, entries: 2, policy: ACCEPT
-p IPv4 -o enp0s9.256 --ip-proto udp --ip-dport 67:68 -j ACCEPT , pcnt = 0 -- bcnt = 0
-o enp0s9.256 -j DROP , pcnt = 2 -- bcnt = 656

Bridge chain: drop_chain, entries: 0, policy: ACCEPT


Подробнее здесь: https://stackoverflow.com/questions/790 ... ot-working