Linux桥接网络中虚拟机流量走FORWARD链，需用iptables -m physdev匹配物理接口进出方向；physdev-in/out仅在FORWARD链生效，且只接受物理网卡名（如eth0），不支持br0等桥接名。
在 Linux 桥接网络（如 KVM 的
）中，虚拟机流量经物理网卡透传后，
不会经过常规的 INPUT/OUTPUT 链
，而是走 FORWARD 链，并且内核无法通过
或
直接识别桥接帧的原始物理入口/出口——因为数据包在桥接层已剥离或重写 MAC 层信息。
这时就需要
扩展模块，它专为透明桥接
防火墙
设计，能匹配桥接过程中真实进出的物理设备。
一、确认 physdev 模块可用
若无输出，加载模块：
注意：
是前提，它启用桥接数据包进入 netfilter 流程；CentOS 7+/RHEL 8+ 可能需额外设置
并写入
。
二、physdev 关键匹配选项说明
选项含义典型用途数据包从哪个物理口进入桥（如）控制宿主机外网口进来的桥接流量数据包从哪个物理口离开桥（如）控制桥发往物理网的出口流量匹配所有被桥接转发的数据包（无论 in/out）快速放行整座桥的转发流/布尔判断，等价于或的简写语义更清晰，推荐用于策略描述
✅
注意
：
和
只在 FORWARD 链生效
，不能用于 INPUT/OUTPUT。
三、典型桥接防火墙规则示例
假设：
Docker Desktop（linux）
当前 Docker 最新稳定版本之一，主要针对稳定性和兼容性进行了修复优化，适合生产环境与日常开发使用。该版本继续强化 AI 开发支持、容器日志管理以及 Docker Engine 的安全能力，对 Windows/macOS/Linux 平台兼容性进行了进一步优化。
下载
物理网卡是
桥接设备是
虚拟机通过
上网，宿主机本身不直接用
通信（即
已桥接到
，IP 配在
上）
✅ 允许桥接流量双向通过（基础通行）
✅ 仅允许从
进入桥、再转发给虚拟机的流量
✅ 禁止虚拟机通过
主动向外发起连接（仅响应请求）
✅ 限制某台虚拟机（MAC 已知）只能访问特定外网端口（如仅 HTTPS）
⚠️ 注意：
是无效的，
只接受物理接口名（eth0、enp1s0）
，不接受桥接名。虚拟机侧应匹配
（进桥）或
（出桥），而非
。
四、保存与验证
保存规则（CentOS/RHEL）：
查看是否生效（带 physdev 信息）：
验证桥接包是否命中：
在
链添加一条带
的规则（放在前面），观察
中是否有日志；
使用
和
对比收发，确认桥接路径。
不复杂但容易忽略
br0-i eth0-o eth0iptables -m physdevlsmod | grep physdevmodprobe br_netfilter
modprobe ipt_physdevbr_netfiltersysctl -w net.bridge.bridge-nf-call-iptables=1/etc/sysctl.conf--physdev-ineth0--physdev-outeth0--physdev-is-bridged--physdev-is-in--physdev-is-out--physdev-in eth0--physdev-out eth0--physdev-in--physdev-outeth0br0br0eth0eth0br0br0iptables -I FORWARD -m physdev --physdev-is-bridged -j ACCEPTeth0iptables -I FORWARD -m physdev --physdev-in eth0 -j ACCEPTbr0iptables -I FORWARD -m physdev --physdev-out eth0 -m state --state NEW -j DROPiptables -I FORWARD -m physdev --physdev-in br0 -m mac --mac-source 52:54:00:11:22:33 -p tcp --dport 443 -j ACCEPT
iptables -I FORWARD -m physdev --physdev-in br0 -m mac --mac-source 52:54:00:11:22:33 -j DROP--physdev-in br0physdev-in/out--physdev-in eth0--physdev-out eth0br0service iptables save
# 或
iptables-save > /etc/sysconfig/iptablesiptables -L FORWARD -v -n --line-numbers | grep physdevFORWARD-j LOG/var/log/messagestcpdump -i eth0tcpdump -i br0