nftables通过bridge hook实现真正的二层防火墙纵深防御，支持mac/vlan/以太网类型精准匹配、conntrack状态协同及四级链式策略联动。
用 nftables 实现数据中心二层防火墙纵深防御，关键不在“堆规则”，而在分层拦截、精准匹配和内核直控。nftables 作为 Linux 内核原生框架，天然支持 bridge hook（桥接钩子），可直接在数据链路层（OSI 第二层）介入转发路径，对未进入网络层的帧进行过滤——这是传统基于 IP 层的 iptables 或 firewalld 无法做到的真正二层防护能力。
启用 bridge hook 实现真正的二层过滤
nftables 的 bridge 表专为二层设计，需确认内核已加载 br_netfilter 模块（modprobe br_netfilter），并开启 sysctl：net.bridge.bridge-nf-call-iptables=0（避免与 ip 层规则冲突）。创建基础桥接链：
nft add table bridge filternft add chain bridge filter forward { type filter hook forward priority -200 \; }- 优先级设为 -200，确保在 conntrack 和 ip 层规则前执行
按 MAC 地址与 VLAN 标签实施准入控制
二层纵深的第一道防线是设备身份识别。可直接基于源/目的 MAC、VLAN ID、以太网类型做白名单或阻断：
- 仅允许特定服务器 MAC 访问管理 VLAN：
nft add rule bridge filter forward ether saddr 00:11:22:33:44:55 vlan id 100 accept - 禁止非法 DHCP 请求（非标准源 MAC + UDP 端口 67）：
nft add rule bridge filter forward ether type ip ip protocol udp udp dport 67 ether saddr != { 00:aa:bb:cc:dd:ee, 00:aa:bb:cc:dd:ef } drop - 隔离租户流量：用
vlan id匹配不同客户 VLAN，并限制跨 VLAN 转发（默认 drop）
结合 conntrack 状态与速率限制构建混合策略
纯二层规则缺乏连接上下文，需与三层状态协同增强纵深性。nftables 支持 bridge + inet 混合表，也可在 bridge 链中调用 ct 状态（需启用 br_netfilter）：
- 对已知合法 MAC 的 ARP 流量限速，防 ARP 泛洪：
nft add rule bridge filter forward ether type arp limit rate 5/second burst 10 packets counter drop - 允许已建立连接的返回帧通过：
nft add rule bridge filter forward ct state established,related accept - 对新发起的二层协议（如 LLDP、CDP）全量丢弃：
nft add rule bridge filter forward ether type { 0x88cc, 0x2000 } drop
与上层防火墙联动形成策略闭环
二层规则不替代三层防护，而是前置补充。建议采用“bridge 过滤 → netdev 入口限速 → inet 连接跟踪 → 应用层策略”四级链式结构：
- 在
netdev表中用ingresshook 做硬件级入口限速（如单端口 100pps ARP） - bridge 表处理 MAC/VLAN/协议级决策
- inet 表承接已解包的 IP 流量，执行端口、IP、TLS SNI 等深度检测
- 所有规则统一启用
counter并导出到 journald，供 SIEM 实时关联分析
不复杂但容易忽略：二层规则必须配合交换机端口安全（Port Security）、DHCP Snooping 等物理层协同，否则仅靠主机侧 nftables 无法防御 MAC 泛洪或 VLAN hopping 类攻击。
