Да, ebtables только действует на кадры, пересекающие интерфейсы моста. Можно, однако, сделать хорошее нарушение разделения на уровни и использовать-m Mac - источник MAC iptables опция.
Каждый раз, когда я делаю что-либо во всем комплексе с netfilter, я сохраняю эту схему близко к руке: http://jengelh.medozas.de/images/nf-packet-flow.png
Вероятно, у вас неполное определение схемы - недостаточно просто определить атрибут SYNTAX
(например, directoryString или IA5String ] OID), это не определяет никаких неявных правил сопоставления (операций сравнения). Это необходимо сделать явно с помощью EQUALITY
и (при необходимости) SUBSTR
, например:
attributetype ( 1.3.6.1.4.1.xxxxx.1.2.3
NAME 'ifxAccStatus'
DESC 'account lock status'
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26
SINGLE-VALUE
EQUALITY caseIgnoreIA5Match
SUBSTR caseIgnoreIA5SubstringsMatch
USAGE userApplications
)
Точно так же не будет неявных правил упорядочивания , this также необходимо указать, если вам нужно упорядочить результаты (например, caseIgnoreOrderingMatch ), хотя это обычно не вызывает столько проблем, как отсутствие операций равенства и подстроки.