![同时使用 pf 进行数据包过滤和 ipfw 的 dummynet 进行带宽限制](https://linux22.com/image/640302/%E5%90%8C%E6%97%B6%E4%BD%BF%E7%94%A8%20pf%20%E8%BF%9B%E8%A1%8C%E6%95%B0%E6%8D%AE%E5%8C%85%E8%BF%87%E6%BB%A4%E5%92%8C%20ipfw%20%E7%9A%84%20dummynet%20%E8%BF%9B%E8%A1%8C%E5%B8%A6%E5%AE%BD%E9%99%90%E5%88%B6.png)
我想问一下是否可以同时使用 pf 进行所有数据包过滤(包括使用 altq 进行流量整形)和使用 ipfw 的 dummynet 来限制某些 IP 或子网的带宽。
我正在使用 FreeBSD 10,但找不到明确的答案。谷歌搜索返回以下结果:
- 有用
- 它不起作用
- 可能有效,但不稳定,不推荐
- 只要你按照正确的顺序加载内核模块,它就可以工作
- 它曾经可以工作,但在最近的 FreeBSD 版本中却不行
- 只要你使用 pfsense 的补丁,它就可以正常工作
然后有提到这个补丁可能已经合并回 FreeBSD,但我找不到它。
可以确定的是,pfSense 同时使用两个防火墙,所以问题是,是否可以使用原装 FreeBSD 10(如果仍然需要,在哪里可以获得补丁)。
以下是我目前拥有的以及我如何加载内容的示例,以供参考
/etc/rc.conf
ifconfig_vtnet0="inet 80.224.45.100 netmask 255.255.255.0 -rxcsum -txcsum"
ifconfig_vtnet1="inet 10.20.20.1 netmask 255.255.255.0 -rxcsum -txcsum"
defaultrouter="80.224.45.1"
gateway_enable="YES"
firewall_enable="YES"
firewall_script="/etc/ipfw.rules"
pf_enable="YES"
pf_rules="/etc/pf.conf"
/etc/pf.conf
WAN1="vtnet0"
LAN1="vtnet1"
set skip on lo0
set block-policy return
scrub on $WAN1 all fragment reassemble
scrub on $LAN1 all fragment reassemble
altq on $WAN1 hfsc bandwidth 30Mb queue { q_ssh, q_default }
queue q_ssh bandwidth 10% priority 2 hfsc (upperlimit 99%)
queue q_default bandwidth 90% priority 1 hfsc (default upperlimit 99%)
nat on $WAN1 from $LAN1:network to any -> ($WAN1)
block in all
block out all
antispoof quick for $WAN1
antispoof quick for $LAN1
pass in on $WAN1 inet proto icmp from any to $WAN1 keep state
pass in on $WAN1 proto tcp from any to $WAN1 port www
pass in on $WAN1 proto tcp from any to $WAN1 port ssh
pass out quick on $WAN1 proto tcp from $WAN1 to any port ssh queue q_ssh keep state
pass out on $WAN1 keep state
pass in on $LAN1 from $LAN1:network to any keep state
/etc/ipfw.rules
ipfw -q -f flush
ipfw -q add 65534 allow all from any to any
ipfw -q pipe 1 config bw 2048KBit/s
ipfw -q pipe 2 config bw 2048KBit/s
ipfw -q add pipe 1 ip from 10.20.20.4 to any via vtnet1 in
ipfw -q add pipe 2 ip from any to 10.20.20.4 via vtnet1 out
答案1
官方规定不能混合使用它们。非官方规定,各种咒语和祭祀可能会导致一种有效但不稳定的配置。无论如何,这都是不推荐的。
另外,为什么不只使用其中一个呢?我假设您希望 dummynet 对每个端点进行一些带宽限制,如果不是,PF 可能就是您所需要的。同样,IPFW 可以完成 PF 可以做的几乎所有事情,但有一些明显不同的调度算法和较少的动态规则空间。