nftablesを使用してTapインターフェースを保護する方法

Qemu VMがLANに接続する2つの主な方法はtype=user次のとおりですtype=tap。このuserモードはプライベートネットワークの仮想マシンを完全に分離し、NATを介してプライマリネットワークスタックにホストします。使いやすく複雑で、物理インターフェイス（）と仮想インターフェイス（）のマスターにtapなるには仮想が必要です。bridgeこれは、外部世界とホストシステムから仮想マシンにデータが流れるパイプのようなものです。私はホスト側のインターフェイスでネットワークトラフィックを調整し、すべてのhttp要求をいくつかの内部IPアドレスにリダイレクトするのに多くの時間を費やしましたが、成功しませんでした。すべてのアドバイス、フォーラム、ウィキは、多くのソリューションをお勧めしますが、主な理由のために動作しません。 VMゲストのパケットがホストカーネルネットワークスタックに到達しません。 IP ホストアドレスが宛先でない場合は、ブリッジレベルで独自の方法を選択し、パケットフィルタチェーンによって調停されるファイアウォールルールを満たしていません。単にホストグローバルポリシーを（ホストXYtablesを使用）に設定することでこれを試すことができ、ホストネットワークは完全には機能しませんが、ゲストはネットワークを介してパケットを送受信できることを確認できます。eth0tap0tap0tap0iptablesnftablesDROP

問題は、VMゲストをホスト仮想ネットワークインターフェイスに仮想的に接続する他の方法はありますか？より良い理解のために、図は次のとおりです。

     General virtual connections for host/VM guest
    +---------------------------------------------+
    |    +-----------------------------+          |
    |    |    iptables    host kernel  |          |
    |    |    nftables   network stack |          |
    |    +-------+---------------------+          |
    |            |                                |
    |    +-------+---------+      +-----------+   |
---eth0--+    virtual      |      |    VM     |   |
    |    |    bridge       +-tap-eth0 guest   |   |
---eth1--+      br0        |      |           |   |
    |    +-----------------+      +-----------+   |
    +---------------------------------------------+


       Host became a router for VM guest
    +-------------------------------------+
    |    +----------------+  +---------+  |
---eth0-->  host kernel   |  |    VM   |  |
    |    |                <-vppp guest |  |
---eth1-->  network stack |  |         |  |
    |    +----------------+  +---------+  |
    +-------------------------------------+

私の問題を解決するには、仮想ブリッジ自体のトラフィックを制御する方法（nftablesを使用するなど）を見つけるか、仮想ワイヤを介してVMゲストネットワークインターフェイスをホストの仮想ネットワークインターフェイスに接続する方法を見つける必要があります。 PPPoEネットワークに似ています。

ただし、最後の最も明確な方法は、ホストループバックを含む特定のポート（サービス）を選択した宛先アドレスに強制的にリダイレクトできるように、Qemuユーザーモードネットワーキングにさらにパラメータを追加することです。はい、Qemuチームにそのような希望を送り、答えを受けました。これは最も重要な機能ではありません。