桥口流入的大包报文经过 iptables 后，无法送达的问题分析

1. 问题分析

问题：

• 桥口流入的大包报文经过 iptables 后，无法送达。

背景：

• 内核：3.10
• 系统：centos7
• 桥口流入的报文，经过 iptables 处理。

拓扑：

                           trunk                      trunk
           access         vlan:10                    vlan:10        access
    [pc1]--------[switch1]------------[firewall]-----------[switch2]----------[pc2]

问题表现：

• 当 pc1 对 pc2 发送大包的时候，switch1 会加上 vlan tag。
• 大包经过 iptables 之后，iptables 会重组，再分片，vlan tag 被去除。
• 最后 导致报文无法通过 switch2。

根本原因：

• net.bridge.bridge-nf-filter-vlan-tagged 设置了为 1。
• 所以大包经过桥口上到 iptables 后，会重组，再分片，所以去掉 vlan tag。

2. 修正动作

2.1 修改配置文件

不要将从桥口上来，带 vlan tag 的报文经过 iptables。
设置 net.bridge.bridge-nf-