Решил настроить антиспуфинг через tc при помощи tc-flower, в результате стали поступать жалобы о том, что люди не могут к туннельном брокерам ipv6 подключится. Когда начали разбираться, то поняли, что проблема в tc-flower. Вот пример конфигурации:
switch@blackmesa1 #> tc -s filter show dev sw0p50 parent ffff:
filter protocol ip pref 1 flower chain 0
filter protocol ip pref 1 flower chain 0 handle 0x1
eth_type ipv4
src_ip 198.18.250.110
not_in_hw
action order 1: gact action pass
random type none pass val 0
index 2 ref 1 bind 1 installed 640 sec used 640 sec
Action statistics:
Sent 0 bytes 0 pkt (dropped 0, overlimits 0 requeues 0)
backlog 0b 0p requeues 0
filter protocol ip pref 65535 matchall chain 0
filter protocol ip pref 65535 matchall chain 0 handle 0x1
not_in_hw (rule hit 1138)
action order 1: gact action drop
random type none pass val 0
index 1 ref 1 bind 1 installed 1162 sec used 0 sec firstused 1161 sec
Action statistics:
Sent 141112 bytes 1138 pkt (dropped 1138, overlimits 0 requeues 0)
backlog 0b 0p requeues 0
Когда переделал на tc-u32 - всё стало работать нормально.
