如何通过 IP 在 Linux 中进行流量整形？

Question

我们有一个透明的代理设置。我尝试在 Linux 中寻找流量整形，我在网上能找到的只是通过接口（eth0/eth1...）限制流量。

我需要通过 IP 地址或 IP 范围来限制带宽（永远不要超过特定限制），但我找不到办法做到这一点。

有没有办法做到这一点？

Answer 1

内核的流量整形层基本上是一个连接到网卡的数据包调度程序。所以一种流量整形策略适用于一张网卡。

在您的情况下，您可以做的是创建一个 IP 和附加带宽列表，然后为每个 IP 创建：

• 一个由 classid 标识的流量整形规则
• 一种将数据包标记为特定标记值的 netfilter 规则
• 将数据包标记绑定到 classid 的一个过滤器，从而将流量控制规则应用于指定的数据包。

@Zoredache 给出的示例有效，但我个人更喜欢使用 Netfilter 功能而不是 TC 来过滤数据包，并使用 HTB 代替 CBQ 来进行整形算法。因此，您可以尝试这样的操作（关联数组需要 Bash 4）：

#! /bin/bash
NETCARD=eth0
MAXBANDWIDTH=100000

# reinit
tc qdisc del dev $NETCARD root handle 1
tc qdisc add dev $NETCARD root handle 1: htb default 9999

# create the default class
tc class add dev $NETCARD parent 1:0 classid 1:9999 htb rate $(( $MAXBANDWIDTH ))kbit ceil $(( $MAXBANDWIDTH ))kbit burst 5k prio 9999

# control bandwidth per IP
declare -A ipctrl
# define list of IP and bandwidth (in kilo bits per seconds) below
ipctrl[192.168.1.1]="256"
ipctrl[192.168.1.2]="128"
ipctrl[192.168.1.3]="512"
ipctrl[192.168.1.4]="32"

mark=0
for ip in "${!ipctrl[@]}"
do
    mark=$(( mark + 1 ))
    bandwidth=${ipctrl[$ip]}

    # traffic shaping rule
    tc class add dev $NETCARD parent 1:0 classid 1:$mark htb rate $(( $bandwidth ))kbit ceil $(( $bandwidth ))kbit burst 5k prio $mark

    # netfilter packet marking rule
    iptables -t mangle -A INPUT -i $NETCARD -s $ip -j CONNMARK --set-mark $mark

    # filter that bind the two
    tc filter add dev $NETCARD parent 1:0 protocol ip prio $mark handle $mark fw flowid 1:$mark

    echo "IP $ip is attached to mark $mark and limited to $bandwidth kbps"
done

#propagate netfilter marks on connections
iptables -t mangle -A POSTROUTING -j CONNMARK --restore-mark

-- 编辑：忘记了默认类并在脚本末尾传播标记。

Answer 2

这样的事情对我有用，可以将承包商的网络摄像头限制在有限的带宽内。有关详细信息，请查看tc的手册页。

#!/bin/bash
set -x

DEV=eth0
export DEV

tc qdisc del dev $DEV root
tc qdisc del dev $DEV root
tc qdisc add dev $DEV root handle 1: cbq avpkt 1000 bandwidth 100mbit

# setup a class to limit to 1500 kilobits/s
tc class add dev $DEV parent 1: classid 1:1 cbq rate 1500kbit \
   allot 1500 prio 5 bounded isolated

# add traffic from 10.2.1.37 to that class
tc filter add dev $DEV parent 1: protocol ip prio 16 u32 \
   match ip src 10.2.1.37 flowid 1:1