Chinaunix

标题: iptables的妙用——条件限速 [打印本页]

作者: zhoutao0712 时间: 2010-01-30 13:49
标题: iptables的妙用——条件限速
某些路由器具有所谓的流量控制中具有“惩罚性限速”的功能：（例如）192.168.1.100在120秒内平均速率超过100KB/S，那么把该IP
列入惩罚队列，惩罚队列速率是40KB/S.

其实，利用iptables的也可以实现类似的功能。脚本如下：

iptables -t mangle -N LMT
iptables -t mangle -N LMT2
iptables -t mangle -I FORWARD -d 192.168.1.100 -m length --length 128: -j LMT
iptables -t mangle -A LMT -m recent --rdest --name badguy --rcheck --seconds 60 -j LMT2
iptables -t mangle -A LMT -m limit --limit 100/sec --limit-burst 5000 -j RETURN
iptables -t mangle -A LMT -m recent --rdest --name badguy --set -j RETURN
iptables -t mangle -A LMT2 -m limit --limit 50/sec --limit-burst 5000 -j RETURN
iptables -t mangle -A LMT2 -j DROP

复制代码

上面代码是用limit限制计算速率，为了更准确，使用了数据包长度筛选: “-m length --length 128:”，这样更准确一点。
一般限制为100/s，按照数据包平均大小1000Bytes来算，大概就是100KB/S。
如果超出，限制变为50/sec，大约50KB/S。

当然，这只是一个示范性的例子了，其中limit模块也可以改用更为强大的hashlimit，hashsped等模块。
还可以用connlimit使用连接数作为限制条件。。。。。。。。。。
如果再把这些模块结合MARK和TC流量控制，就实现了某些路由器的所谓“条件限速”“P2P惩罚”等功能。

[ 本帖最后由 zhoutao0712 于 2010-1-30 13:58 编辑 ]

作者: wendaozhe 时间: 2010-01-30 14:06
好，谢谢分享！
hashlimit和recent是很好的模块！

作者: nagaregawa 时间: 2010-01-30 15:02
标题: 回复 #1 zhoutao0712 的帖子
学习

作者: emmoblin 时间: 2010-01-30 22:18
如何判断连续超过100K呢？
目前实现不了

作者: wheel 时间: 2010-02-01 16:08
不错。。收下老

作者: snow888 时间: 2010-02-01 16:16
学习了.

作者: hc_ttcm 时间: 2010-02-01 16:30
192.168.1.100在120秒内平均速率超过100KB/S

这个咋得到的？

作者: bigarade 时间: 2010-02-02 01:40
这个可以实际操作么?

作者: 万里北国 时间: 2010-02-02 08:43
好

作者: jinxl560 时间: 2010-02-02 10:02
学习了啊

作者: myhnet 时间: 2010-02-14 12:31
为什么要用mangle表啊？必须要用mangle表吗？

作者: 志国 时间: 2010-02-14 12:50
不错。学习了！

作者: 300second 时间: 2010-02-15 10:30
如何判断连续超过100K呢？请给个脚本

作者: changzi100 时间: 2010-02-15 10:36
看不太懂 ,继续学习

作者: zhoutao0712 时间: 2010-02-16 13:43
嘿嘿，能看懂的说明他真正读懂了《iptables使用手册》和《linux高级路由和流量控制》，
并且写了大量脚本实践。

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)