if bridge, броадкасту - нет!

[opt1k]

появилась необходимость срезать броадкаст перед shdsl-мостом, т.к. канал 512килобит забивается моментально одним мусором. Использование маршрутизатора не катит, пакеты должны ходить прозрачно, поэтому решил что нужен комп с фряхой и двумя сетевухами(благо такой уже есть) в режиме моста.
Вопрос в том, можно ли срезать броадкаст проходящий через if bridge? если да, то как? часовое гуглирование не спасло

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[hizel]

Код: Выделить всё

ipfw add ip from any to 255.255.255.255 in via bridge0 
ipfw add ip from any to 255.255.255.255 out via bridge0 

что то подобное

[maradona]

Код: Выделить всё

ipfw add ip from any to 255.255.255.255 in via bridge0 
ipfw add ip from any to 255.255.255.255 out via bridge0 

что то подобное

осмелюсь заметить что так блокировать не будет (пробовал) вместо bridge0 писать нада просто сетевой интерфейс а не мост

[alex3]

так блокировать вообще не будет... товарищ забыл написать [действие] (allow or deny)

[hizel]

осмелючь заметить, что фильтовать будет если кончено поставить deny\allow
и обозреть man if_bridge на предмет sysctl переменных отвечающих за фильтрацию

[opt1k]

не фильтрует как надо
Я скорее всего называю бродкастом то что им не является?!?

Вобщем сижу за мостом со снифером, на другой стороне пускаю программу netlook(сканит смб шары в сетке). В этот момент в снифере валятся пакеты с адресом 192.168.0.255, именно их то мне и надо рубить.
Может я не правильно что-то понимаю, посоветуйте какими правилами можно зажать паразитический трафик на бридже. Блокировать нужно именно многоадресный мусор.

[manefesto]

так заблокируй фаером броудкаст.
В чем проблема то ?

Код: Выделить всё

ipfw deny from any to 192.168.0.255 via $if

[opt1k]

спасибо, сегодня попробую, но кажется вчера я и этот вариант пробовал.

[manefesto]

вот здесь http://www.nixp.ru/articles/freebsd_ipfw_mini-howto прочел

Код: Выделить всё

# Запрещаем broadcast.
add 700 deny all from any to $MYNET.255 in
add 703 deny ip from any to 255.255.255.255 in

[hizel]

уважаемый opt1k вы смотрели sysctl переменные в man if_bridge ?
это довольно принцыпиально

[opt1k]

да, обе у меня включены. Я имею ввиду те что включают фильтрацию на самом бридже и на интерфейсах бриджа

[hizel]

ага! тогда все пучком, тогда должно фильтровать, причем не по одному разу если все включено
ксати броадкасты бывают разные есть еще например которые пуляют без ip с layer2 адреском ff:ff:ff:ff:ff:ff