V skratke a v jednoduchosti...bridge sa neroutuje lebo tam nie je co routovat a tym padom na tom iptables nefunguju.
To sa zmenilo od kernelu 2.6, kedy sa zaviedla podpora ebtables br-nf, cize uz je to mozne, nicmenej s tym nemam skusenosti a je to navyse podla mna blbost...take male znasilnovanie iptables z mojho pohladu.
Ak chces s tym trapit tu mas vysvetlenu konfiguraciu.
https://www.sbarjatiya.com/notes_wiki/index.php/Basic_ebtables_configuration

Ja byt tebou spravim si routovanie, cize mas tam eth0 a eth1.
Kazdemu pridel inu ip z ineho rozsahu.
Nadradenemu routru bud oznamis tento dalsi ip rozsah, ktory by on inak nevidel spolu s branou kam to ma smerovat alebo spravis maskaradu na vystupe rpi.
Priklad
hlavny router 192.168.0.1/24
rpi eth0 192.168.0.254/24
rpi eth1 192.168.1.1/24

Rpi pozna obe siete, ale hlavny router len 0, takze mu pridas staticku routu 192.168.1.0/24 via 192.168.0.254.
Pripadne spravis maskarada na eth0 a potom to robit nemusis, kedze o vsetko sa postara rpi...ale zo siete 192.168.0.0/24 nebude siet 192.168.1.0/24 viditelna, takze neviem, ci to takto chces.

Na akejto sieti ti budu fungovat vsetky bezne pravdila na fw na rpi.