Фильтрация пакетов в bridge (iptables,ebtables)
1. Для того, чтобы можно было с помощью iptables фильтровать трафик, проходящий транзитом через мост необходимо выставить следующие системные переменные sysctl:
net.bridge.bridge-nf-call-iptables = 1
net.bridge.bridge-nf-call-ip6tables = 1

2. После того как установите переменные sysctl, можно использовать для этого iptables, используя сопоставление (match) -m physdev --physdev-in / --physdev-out
3. См. предыдущий ответ.
Как-то так.
Вы должны понять уровни, на которых работает iptables и ebtables — это раз.
в бридже (L2) — работать надо с MAC-адресами.