工作中需要实现网桥模式下进行IP包过滤，即使用netfilter，发现Linux 内核已经支持，但默认没有打开，需要做如下改动：

1. 确保内核编译时开启 CONFIG_BRIDGE_NETFILTER

2. /proc/sys/net/bridge/bridge-nf-call-iptables 必须置为1，目前openwrt 版本默认关闭此选项导致桥接无法抓到包，需要修改/etc/sysctl.conf

其工作原理为，在网桥模式下，同时调用了IP相关的hook函数，如此可以进行IP的netfilter，详细参见Linux内核的br_netfilter.c 文件