☰

如何通过查询 iptables 获取 RX 和 TX 字节？

tag-icon • tag-icon iptables openwrt bandwidth
如何通过查询 iptables 获取 RX 和 TX 字节？

我的目的是监控来自/到广域网的流量。为了实现这一点，我想以 iptables 计数器作为数据源来计算每秒传出和传入的字节数。不幸的是，尽管我知道输入和输出，但我无法理解如何处理转发链。我专注于 iptables，因为它实际上只显示 IPV4 数据包和字节，因为我不需要以太网数据包和字节。我的配置方案是：modem -> OpenWrt路由器

这是我的 /etc/config/firewall 文件：

config defaults
        option syn_flood '1'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'REJECT'

config zone
        option name 'lan'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'ACCEPT'
        option network 'lan'

config zone
        option name 'wan'
        option input 'REJECT'
        option output 'ACCEPT'
        option forward 'REJECT'
        option masq '1'
        option mtu_fix '1'
        option network 'wan'

config rule
        option name 'Allow-DHCP-Renew'
        option src 'wan'
        option proto 'udp'
        option dest_port '68'
        option target 'ACCEPT'
        option family 'ipv4'

config rule
        option name 'Allow-Ping'
        option src 'wan'
        option proto 'icmp'
        option icmp_type 'echo-request'
        option family 'ipv4'
        option target 'ACCEPT'

config rule
        option name 'Allow-DHCPv6'
        option src 'wan'
        option proto 'udp'
        option src_ip 'fe80::/10'
        option src_port '547'
        option dest_ip 'fe80::/10'
        option dest_port '546'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Input'
        option src 'wan'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        list icmp_type 'router-solicitation'
        list icmp_type 'neighbour-solicitation'
        list icmp_type 'router-advertisement'
        list icmp_type 'neighbour-advertisement'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Forward'
        option src 'wan'
        option dest '*'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config include
        option path '/etc/firewall.user'

config include 'miniupnpd'
        option type 'script'
        option path '/usr/share/miniupnpd/firewall.include'
        option family 'any'
        option reload '1'

config forwarding
        option dest 'wan'
        option src 'lan'

如果可能的话，请给我提供一个也适用于基于 OpenWrt 的接入点（而不仅仅是路由器）的答案。谢谢你！

答案1

我猜想 openwrt 路由器有一个完整的 iptables 命令。如果是这样，那么问题就变得像解析 iptables 流量计数器一样简单。

举个例子，假设我热衷于测量没有 iptables 规则的普通服务器上的 GoogleDNS 服务器 8.8.8.8 的流量，如下所示

  ❯❯❯ sudo iptables -n -L -xv 
Chain INPUT (policy ACCEPT 27 packets, 1660 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 21 packets, 2132 bytes)
    pkts      bytes target     prot opt in     out     source               destination

如您所见，我们有全局每链数据包计数器（示例：输出已看到 21 个 2132 字节的数据包）

下一步，我们为我们感兴趣的流量注入一条规则。在本示例中，我们将要求 iptables 监视流向 8.8.8.8 的所有流量

❯❯❯ sudo iptables -I OUTPUT 1 -o eth0 -d 8.8.8.8

让我们看看数据包记帐计数器报告的内容（注意现在列出了 8.8.8.8 的新规则）

  ❯❯❯ sudo iptables -n -L -xv
Chain INPUT (policy ACCEPT 12 packets, 752 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 8 packets, 784 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0            all  --  *      eth0    0.0.0.0/0            8.8.8.8

让我们生成 5 个 ICMP 请求数据包。

  ❯❯❯ ping -c 5 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_req=1 ttl=128 time=159 ms
64 bytes from 8.8.8.8: icmp_req=2 ttl=128 time=159 ms
64 bytes from 8.8.8.8: icmp_req=3 ttl=128 time=156 ms
64 bytes from 8.8.8.8: icmp_req=4 ttl=128 time=161 ms
64 bytes from 8.8.8.8: icmp_req=5 ttl=128 time=155 ms

--- 8.8.8.8 ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 4010ms
rtt min/avg/max/mdev = 155.294/158.503/161.081/2.092 ms

查看 iptables 计数器，我们会看到记录了数据包计数和字节计数传出数据包至 8.8.8.8

  ❯❯❯ sudo iptables -n -L -xv 
Chain INPUT (policy ACCEPT 105 packets, 6900 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 67 packets, 6956 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       5      420            all  --  *      eth0    0.0.0.0/0            8.8.8.8

请注意，字节数为（64 字节/ICMP 请求 + 20 字节/IP 请求）* 5 个请求:)

如果您想监控来自该服务器的传入流量，您只需为其添加一个 INPUT 规则（提示：只需更改输出 => 输入）。

现在您已经了解了基础知识，您可以疯狂地通过以下方式分配流量

  • 协议（udp、tcp、icmp）
  • 子网（您使用它来区分网络内带宽（数据中心内）与外部流量）

    ...

相关内容