关于NETFILTER进行的网关的流量控制。

程序c

关于NETFILTER进行的网关的流量控制。

我之前用NF编写了一个网络开关，可以控制内网的哪些IP地址（暂不讨论IP地址伪造问题）可以访问外网，哪些不能访问外网，但是有一个极大的问题是，可以访问外网的机器可以做成代理服务器，共享给那些没有外网权限的机器使用。这会成为一个大问题。

但是既然能访问外网的IP和不能访问外网的IP在一个网络里面，杜绝代理肯定是不能了，所以我想控制每个有外网权限的机器的TCP和UDP流量，这样谁要是做了代理，他自己本身的速度会受到影响的话，就会减少很多的代理问题。

但是如何编写这个模块，我还没什么思路，看是否有高手提供些思路？谢谢了。

Godbach

简单的方式做个包速率限制。
复杂点呢，可以按照按流量限制的内核模块。
还有一个思路，就是尝试一下 tc

程序c

简单的方式做个包速率限制。
复杂点呢，可以按照按流量限制的内核模块。
还有一个思路，就是尝试一下 tc
Godbach 发表于 2011-01-13 21:21

    谢谢您热心的指导。

Godbach

如果你的需求就是针对某个IP做一个总体的带宽限制，实现起来不难

独孤九贱

除了流控，也可以直接封代理，很多代理服务器都有相应的关键字来着，例如X-FORWARD，诸如此类。

程序c

如果你的需求就是针对某个IP做一个总体的带宽限制，实现起来不难
Godbach 发表于 2011-01-14 10:19

嗯，是对每一个内网IP对于出网的数据包流量控制下，防止某一个IP流量过大，如果他流量过大，可能有做代理的嫌疑。

程序c

除了流控，也可以直接封代理，很多代理服务器都有相应的关键字来着，例如X-FORWARD，诸如此类。:em02 ...
独孤九贱 发表于 2011-01-14 10:36

    是对于出网的数据包也有关键字么？还是在内网控制？

Godbach

嗯，是对每一个内网IP对于出网的数据包流量控制下，防止某一个IP流量过大，如果他流量过大，可能有做代理的嫌疑。

更重要的是需要控制流入的。因为下载的时候，流入的流量是大头。

Godbach

是对于出网的数据包也有关键字么？还是在内网控制？

通过代理发出去的数据包，是有一些特征的，诚如九贱兄所说的 X-FORWARD 之类的。你可以抓包看看，和不用代理的比较一把。

程序c

更重要的是需要控制流入的。因为下载的时候，流入的流量是大头。
Godbach 发表于 2011-01-14 10:47

您觉得直接在NETFILTER上编，做HASH表，这样的方法可行么？

然后我再研究一下，过滤一些代理的报文。