Linux 如何实现在netfilter之前，尽量靠近底层的地方实现数据包过滤？

[FlashBaby518]

netfilter主要是在网络层的包匹配过滤。我最近搞的东西，需要实现进入网络层之前的包匹配过滤。通过查资料看到ebtables不知道可不可以？也在努力看内核源码，netif_receive_skb()诸如此类。或是修改网卡驱动吗？
最后期望实现的效果是：网络层之前的包标记过滤，能够对匹配到的数据包进行丢弃或转发操作。

[FlashBaby518]

顶！沉得好快。。。

[twintiger]

不知道你要处理什么样的包？mac层有个dev_add_pack可以做你这样的事情，相当于截取某种协议的包。你自己google用法吧，应该讲的还是比较详细的。

[qprevf]

- -我记得是netfilter可以再tcp/IP之前就能过滤了呀， 他在匹配路由前就可以做一次过滤来判断是否转发丢弃， 你再好好看看

[FlashBaby518]

引用 2 楼 qprevf 的回复:

- -我记得是netfilter可以再tcp/IP之前就能过滤了呀， 他在匹配路由前就可以做一次过滤来判断是否转发丢弃， 你再好好看看

netfilter好像有个网桥模式，貌似和IP层互相关联，NF_BR...诸如这样的模式吧。只会一些普通的netfilter应用。这个网桥模式是不是能在桥接之前起作用呢？