![如何在 Linux 中通过 IP 进行流量整形?](https://linux22.com/image/527384/%E5%A6%82%E4%BD%95%E5%9C%A8%20Linux%20%E4%B8%AD%E9%80%9A%E8%BF%87%20IP%20%E8%BF%9B%E8%A1%8C%E6%B5%81%E9%87%8F%E6%95%B4%E5%BD%A2%EF%BC%9F.png)
我们有一个透明代理设置。我尝试在 Linux 中寻找流量整形,但我在网上找到的都是通过接口(eth0/eth1...)限制流量。
我需要通过 IP 地址或 IP 范围来限制带宽(永远不超过特定限制),但我找不到这样做的方法。
有什么办法可以做到这一点?
答案1
内核的流量整形层基本上是附在网卡上的数据包调度程序。因此,一个流量整形策略适用于一个网卡。
就您而言,您可以做的是创建一个附加的 IP 和带宽列表,然后针对每个 IP 创建:
- 一个流量整形规则,由 classid 标识
- 一个 netfilter 规则,将数据包标记为特定的标记值
- 一个过滤器将数据包的标记与classid绑定,从而将流量控制规则应用到指定的数据包。
@Zoredache 给出的示例有效,但我个人更喜欢使用 Netfilter 功能而不是 TC 来过滤数据包,并使用 HTB 而不是 CBQ 作为整形算法。因此,您可以尝试以下方法(关联数组需要 Bash 4):
#! /bin/bash
NETCARD=eth0
MAXBANDWIDTH=100000
# reinit
tc qdisc del dev $NETCARD root handle 1
tc qdisc add dev $NETCARD root handle 1: htb default 9999
# create the default class
tc class add dev $NETCARD parent 1:0 classid 1:9999 htb rate $(( $MAXBANDWIDTH ))kbit ceil $(( $MAXBANDWIDTH ))kbit burst 5k prio 9999
# control bandwidth per IP
declare -A ipctrl
# define list of IP and bandwidth (in kilo bits per seconds) below
ipctrl[192.168.1.1]="256"
ipctrl[192.168.1.2]="128"
ipctrl[192.168.1.3]="512"
ipctrl[192.168.1.4]="32"
mark=0
for ip in "${!ipctrl[@]}"
do
mark=$(( mark + 1 ))
bandwidth=${ipctrl[$ip]}
# traffic shaping rule
tc class add dev $NETCARD parent 1:0 classid 1:$mark htb rate $(( $bandwidth ))kbit ceil $(( $bandwidth ))kbit burst 5k prio $mark
# netfilter packet marking rule
iptables -t mangle -A INPUT -i $NETCARD -s $ip -j CONNMARK --set-mark $mark
# filter that bind the two
tc filter add dev $NETCARD parent 1:0 protocol ip prio $mark handle $mark fw flowid 1:$mark
echo "IP $ip is attached to mark $mark and limited to $bandwidth kbps"
done
#propagate netfilter marks on connections
iptables -t mangle -A POSTROUTING -j CONNMARK --restore-mark
——编辑:忘记了默认类和在脚本末尾传播标记。
答案2
类似这样的方法对我来说可以限制承包商的网络摄像头的带宽。查看手册页碳了解详情。
#!/bin/bash
set -x
DEV=eth0
export DEV
tc qdisc del dev $DEV root
tc qdisc del dev $DEV root
tc qdisc add dev $DEV root handle 1: cbq avpkt 1000 bandwidth 100mbit
# setup a class to limit to 1500 kilobits/s
tc class add dev $DEV parent 1: classid 1:1 cbq rate 1500kbit \
allot 1500 prio 5 bounded isolated
# add traffic from 10.2.1.37 to that class
tc filter add dev $DEV parent 1: protocol ip prio 16 u32 \
match ip src 10.2.1.37 flowid 1:1
答案3
我不确定我是否正确理解了你的问题。
透明代理(如 HTTP 的 Squid)主要用来控制传入数据。而流量整形则用于控制传出数据。
您需要提供更多详细信息。如果您有很多工作站位于 HTTP 代理后面,并且正在尝试限制它们的下载速度,那么您最好使用 Squid + 延迟池之类的东西。