☰

如何在 Linux 中通过 IP 进行流量整形？

tag-icon • tag-icon linux ip traffic-shaping ip-address
如何在 Linux 中通过 IP 进行流量整形？

我们有一个透明代理设置。我尝试在 Linux 中寻找流量整形，但我在网上找到的都是通过接口（eth0/eth1...）限制流量。

我需要通过 IP 地址或 IP 范围来限制带宽（永远不超过特定限制），但我找不到这样做的方法。

有什么办法可以做到这一点？

答案1

内核的流量整形层基本上是附在网卡上的数据包调度程序。因此，一个流量整形策略适用于一个网卡。

就您而言，您可以做的是创建一个附加的 IP 和带宽列表，然后针对每个 IP 创建：

  • 一个流量整形规则，由 classid 标识
  • 一个 netfilter 规则，将数据包标记为特定的标记值
  • 一个过滤器将数据包的标记与classid绑定，从而将流量控制规则应用到指定的数据包。

@Zoredache 给出的示例有效，但我个人更喜欢使用 Netfilter 功能而不是 TC 来过滤数据包，并使用 HTB 而不是 CBQ 作为整形算法。因此，您可以尝试以下方法（关联数组需要 Bash 4）：

#! /bin/bash
NETCARD=eth0
MAXBANDWIDTH=100000

# reinit
tc qdisc del dev $NETCARD root handle 1
tc qdisc add dev $NETCARD root handle 1: htb default 9999

# create the default class
tc class add dev $NETCARD parent 1:0 classid 1:9999 htb rate $(( $MAXBANDWIDTH ))kbit ceil $(( $MAXBANDWIDTH ))kbit burst 5k prio 9999

# control bandwidth per IP
declare -A ipctrl
# define list of IP and bandwidth (in kilo bits per seconds) below
ipctrl[192.168.1.1]="256"
ipctrl[192.168.1.2]="128"
ipctrl[192.168.1.3]="512"
ipctrl[192.168.1.4]="32"

mark=0
for ip in "${!ipctrl[@]}"
do
    mark=$(( mark + 1 ))
    bandwidth=${ipctrl[$ip]}

    # traffic shaping rule
    tc class add dev $NETCARD parent 1:0 classid 1:$mark htb rate $(( $bandwidth ))kbit ceil $(( $bandwidth ))kbit burst 5k prio $mark

    # netfilter packet marking rule
    iptables -t mangle -A INPUT -i $NETCARD -s $ip -j CONNMARK --set-mark $mark

    # filter that bind the two
    tc filter add dev $NETCARD parent 1:0 protocol ip prio $mark handle $mark fw flowid 1:$mark

    echo "IP $ip is attached to mark $mark and limited to $bandwidth kbps"
done

#propagate netfilter marks on connections
iptables -t mangle -A POSTROUTING -j CONNMARK --restore-mark

——编辑：忘记了默认类和在脚本末尾传播标记。

答案2

类似这样的方法对我来说可以限制承包商的网络摄像头的带宽。查看手册页碳了解详情。

#!/bin/bash
set -x

DEV=eth0
export DEV

tc qdisc del dev $DEV root
tc qdisc del dev $DEV root
tc qdisc add dev $DEV root handle 1: cbq avpkt 1000 bandwidth 100mbit

# setup a class to limit to 1500 kilobits/s
tc class add dev $DEV parent 1: classid 1:1 cbq rate 1500kbit \
   allot 1500 prio 5 bounded isolated

# add traffic from 10.2.1.37 to that class
tc filter add dev $DEV parent 1: protocol ip prio 16 u32 \
   match ip src 10.2.1.37 flowid 1:1

答案3

我不确定我是否正确理解了你的问题。

透明代理（如 HTTP 的 Squid）主要用来控制传入数据。而流量整形则用于控制传出数据。

您需要提供更多详细信息。如果您有很多工作站位于 HTTP 代理后面，并且正在尝试限制它们的下载速度，那么您最好使用 Squid + 延迟池之类的东西。

相关内容