iptables в мостовых сетях

Мне нужна помощь в создании набора правил iptable для маршрутизации и ограничения использования между интерфейсами в мосте (br0).

# brctl show
bridge name bridge id               STP enabled     interfaces
br0           8000.002590387da2     no              eth0
                                                    vnet0
                                                    vnet1

Я включил net.bridge.bridge-nf-call-ip6tables и net.bridge.bridge-nf-call-iptables (описание того, что мне нужно, см. Брандмауэр на хосте KVM, запретить доступ к ВМ: s).

Я не умею взламывать iptables и мне нужна помощь или подсказка в правильном направлении. Прямо сейчас я даже не уверен, с какой таблицей / цепочкой я должен работать.