Linux Forum — Htb неправильно шейпит

Re: Htb неправильно шейпит

null@example.com (Kettler) — Sat, 29 Jan 2011 17:42:58 +0000

Ну на счёт вирусов это конечно вам надо логи смотреть а чтоб их смотреть надо iptables + log делать. Для человеческого логирования rotate настраивать.
Инет это ток 80 и 53 порт я думаю так же почту надо.

Re: Htb неправильно шейпит

null@example.com (astalavista) — Sat, 29 Jan 2011 16:15:15 +0000

также из нутри сети чтобы вирусы сервер не забивали

Re: Htb неправильно шейпит

null@example.com (astalavista) — Sat, 29 Jan 2011 16:09:49 +0000

Все только через nat ходят , для внутренней ничего не надо, только интернет.

Re: Htb неправильно шейпит

null@example.com (Kettler) — Sat, 29 Jan 2011 15:46:57 +0000

Скажи какие порты надо открыть обычным пользователям кто за nat? и какие порты нужны самому серверу.

Re: Htb неправильно шейпит

null@example.com (astalavista) — Sat, 29 Jan 2011 15:22:04 +0000

При загрузке делается это, +последние три правила для каждого клиента.

#!/bin/bash
iptables -F -t nat
iptables -F -t mangle
iptables -A POSTROUTING -t nat -s 192.168.1.2 -j SNAT --to-source 10.1.1.1
iptables -t mangle -A PREROUTING -s 192.168.1.2 -j MARK --set-mark 102
iptables -t mangle -A PREROUTING -s 192.168.1.2 -j RETURN
...

при iptables -S выдает - можно всё

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

Re: Htb неправильно шейпит

null@example.com (Kettler) — Sat, 29 Jan 2011 15:09:17 +0000

Покажи свой скрипт потом глянем.

Re: Htb неправильно шейпит

null@example.com (astalavista) — Sat, 29 Jan 2011 14:46:19 +0000

Подскажите пожалуйста какие правила еще нужно добавить в iptables, чтобы не они не мешали тому что есть и отсекали то что не нужно. Т.е. вирусы с локалки чтобы не забивали канал и не было лишней нагрузки на сервер из-за левых запросов.

Re: Htb неправильно шейпит

null@example.com (Kettler) — Thu, 27 Jan 2011 08:41:14 +0000

а кто мешает ограничить по ип? заместо 172.16.0.32 подставляй своё ну классы само собой.

/sbin/tc class add dev $lan parent 1:2 classid 1:08 htb rate 2048Kbit ceil 2048Kbit burst 50Kb prio 1
/sbin/tc qdisc add dev $lan parent 1:08 handle 08 sfq perturb 10
/sbin/tc filter add dev $lan parent 1:0 protocol ip prio 100 u32 match ip dst 172.16.0.32 classid 1:08

P.S не хошь так посади их в отдельную подсеть.

Re: Htb неправильно шейпит

null@example.com (astalavista) — Thu, 27 Jan 2011 08:33:58 +0000

Спасибо Kettler. Помог, всё ОК!
Есть такой еще вопрос. А как можно ограничить на группу. К приеру три группы, в них ип в разнобой и потому маской не получиться поделить. Надо чтобы каждая группа состоящая из нескольких адресов имела свое ограничение. К примеру 2Mbit на группу.
Такое возможно селать?

Re: Htb неправильно шейпит

null@example.com (Kettler) — Wed, 26 Jan 2011 07:36:48 +0000

Я вам дал выше готовые примеры. На счёт маски 192.168.1.0/32 ток вашем скрипте вы гоняете по метке а также и по фильтру.

Re: Htb неправильно шейпит

null@example.com (astalavista) — Wed, 26 Jan 2011 07:30:52 +0000

Блин... маска 192.168.1.2/32 а не 22

Re: Htb неправильно шейпит

null@example.com (Kettler) — Tue, 25 Jan 2011 22:11:13 +0000

Ну пока ток исходящую режим.

#!/bin/sh
lan=vlan6
tc=`which tc`

/sbin/tc qdisc del dev $lan root
/sbin/tc qdisc add dev $lan root handle 1: htb default 10

/sbin/tc class add dev $lan parent 1: classid 1:10 htb rate 100Mbit ceil 100Mbit

#/sbin/tc class add dev $lan parent 1:2 classid 1:07 htb rate 1024Kbit ceil 1024Kbit burst 50Kb prio 1
#/sbin/tc qdisc add dev $lan parent 1:07 handle 07 sfq perturb 10
#/sbin/tc filter add dev $lan parent 1:0 protocol ip prio 100 u32 match ip dst 172.16.0.32 classid 1:07

Проверенно и так и так. Исходящую резать по ип не знаю честно ток если общий канал резать.

tc qdisc add dev ${IFACE} handle ffff: ingress
tc filter add dev ${IFACE} parent ffff: protocol ip prio 50 u32 match ip src 0.0.0.0/0 police rate ${DOWNLINK} burst 12k drop flowid :1

Re: Htb неправильно шейпит

null@example.com (Kettler) — Tue, 25 Jan 2011 21:58:24 +0000

Отписал в асю к вечеру будет просто хочу довести до ума.
Уверен что правильно указана маска 192.168.1.2/22 ?
Ещё для размышления если режишь по метке так на фига по ипи?

Htb неправильно шейпит

null@example.com (astalavista) — Tue, 25 Jan 2011 20:31:13 +0000

Люди ! Помогите.
Измотал меня этот htb и я понимаю что проблема не в нём.

/sbin/tc qdisc del dev eth1 root
/sbin/tc qdisc add dev eth1 root handle 1 htb default 0 r2q 100

/sbin/tc qdisc del dev eth0 root
/sbin/tc qdisc add dev eth0 root handle 1 htb default 0 r2q 100

/sbin/tc class add dev eth1 parent 1: classid 1:2 htb rate 16Mbit ceil 16Mbit

/sbin/tc class add dev eth1 parent 1:2 classid 1:05 htb rate 15Mbit ceil 15Mbit
/sbin/tc qdisc add dev eth1 parent 1:05 handle 05 sfq perturb 10

/sbin/tc class add dev eth1 parent 1:2 classid 1:07 htb rate 1024Kbit ceil 1024Kbit burst 50Kb prio 1
/sbin/tc qdisc add dev eth1 parent 1:07 handle 07 sfq perturb 10
/sbin/tc filter add dev eth1 parent 1:0 protocol ip prio 100 u32 match ip dst 192.168.1.2/22 classid 1:07

/sbin/tc class add dev eth1 parent 1:2 classid 1:08 htb rate 1024Kbit ceil 1024Kbit burst 50Kb prio 1
/sbin/tc qdisc add dev eth1 parent 1:08 handle 08 sfq perturb 10
/sbin/tc filter add dev eth1 parent 1:0 protocol ip prio 100 u32 match ip dst 192.168.1.3/22 classid 1:08

/sbin/tc class add dev eth0 parent 1: classid 1:2 htb rate 16Mbit ceil 16Mbit

/sbin/tc class add dev eth0 parent 1:2 classid 1:05 htb rate 15Mbit ceil 15Mbit
/sbin/tc qdisc add dev eth0 parent 1:05 handle 05 sfq perturb 10

/sbin/tc class add dev eth0 parent 1:2 classid 1:07 htb rate 128Kbit ceil 128Kbit burst 50Kb prio 1
/sbin/tc qdisc add dev eth0 parent 1:07 handle 07 sfq perturb 10
/sbin/tc filter add dev eth0 parent 1:0 protocol ip prio 200 handle 102 fw classid 1:07

/sbin/tc class add dev eth0 parent 1:2 classid 1:08 htb rate 128Kbit ceil 128Kbit burst 50Kb prio 1
/sbin/tc qdisc add dev eth0 parent 1:08 handle 08 sfq perturb 10
/sbin/tc filter add dev eth0 parent 1:0 protocol ip prio 200 handle 103 fw classid 1:08

iptables

iptables -A POSTROUTING -t nat -s 192.168.1.2 -j SNAT --to-source 10.1.1.1
iptables -t mangle -A PREROUTING -s 192.168.1.2 -j MARK --set-mark 102
iptables -t mangle -A PREROUTING -s 192.168.1.2 -j RETURN

iptables -A POSTROUTING -t nat -s 192.168.1.3 -j SNAT --to-source 10.1.1.1
iptables -t mangle -A PREROUTING -s 192.168.1.3 -j MARK --set-mark 103
iptables -t mangle -A PREROUTING -s 192.168.1.3 -j RETURN

Проблема в том, что 1024Кбит/с делит на двоих а не каждому по 1024Кбит/с. Надо чтобы каждому по 1024
В чем я ошибся??