Làm cách nào để (đúng) định cấu hình giải mã PPPoE/VLAN trên Linux bridge?

Tôi đã cố gắng thiết lập tường lửa cầu nối L2 Linux trong suốt bằng cách sử dụng cầu nối Linux kết hợp với các biến hệ thống bridge-nf-call-iptables, bridge-nf-filter-vlan-tagged và bridge-nf-filter-pppoe-tagged .

Cấu hình của tôi:

Cầu:

brctl addif br0 enp1s0
brctl addif br0 enp2s0
ifconfig enp1s0 lên
ifconfig enp2s0 lên
ifconfig br0 lên

Cầu-nf:

/proc/sys/net/bridge/bridge-nf-call-iptables > 1
/proc/sys/net/bridge/bridge-nf-filter-vlan-tagged > 1
/proc/sys/net/bridge/bridge-nf-filter-pppoe-tagged > 1

IPTables:

iptables -A INPUT -d 8.8.8.8 -j DROP
iptables -A FORWARD -d 8.8.8.8 -j DROP

Với thiết lập ở trên, khi cố gắng thực hiện tra cứu DNS tới 8.8.8.8 qua kết nối được đóng gói PPPoE (chạy qua cầu nối), không có gì bị chặn và truy vấn DNS thành công. Thực hiện trực tiếp cùng một truy vấn (không có đóng gói PPPoE) sẽ bị chặn đúng cách. Vì vậy, có vẻ như gói không được giải mã đúng cách trước khi được iptables xử lý. Tuy nhiên, theo tài liệu, cài đặt /proc/sys/net/bridge/bridge-nf-filter-pppoe-tagged sẽ cho phép iptables lọc các gói được đóng gói PPPoE.

Tôi đang làm gì sai/bỏ qua?