tc 中u32过滤器的问题！

solegoose

我想对22端口的流量进行限制，在建立好qdisc和class后，我以此方式来添加过滤器
tc filter add dev eth1 parent 1:0 protocol ip prio 100 u32 match tcp src 22 0xffff flowid 1:2
用tc filter show dev eth1命令查看，结果如下
filter parent 1: protocol ip pref 100 u32
filter parent 1: protocol ip pref 100 u32 fh 800: ht divisor 1
filter parent 1: protocol ip pref 100 u32 fh 800::800 order 2048 key ht 800 bkt 0 flowid 1:2
  match 00160000/ffff0000 at nexthdr+0
但是在sftp的时候，明显感觉到流量控制没有起到作用。
考虑到tcp头部中，source位于tcphdr的最前面2个字节，而ip头部长度通常为20个字节，我删除上述过滤器后，重新添加一条：
tc filter add dev eth1 parent 1:0 protocol ip prio 100 u32 match u16  22 0xffff at 20 flowid 1:2
用tc filter show dev eth1命令查看，结果如下
filter parent 1: protocol ip pref 100 u32
filter parent 1: protocol ip pref 100 u32 fh 800: ht divisor 1
filter parent 1: protocol ip pref 100 u32 fh 800::800 order 2048 key ht 800 bkt 0 flowid 1:2
  match 00160000/ffff0000 at 20
这样，就可以做到流量控制了。
但是考虑到这样做是不可靠的，不知道有什么办法，可以用u32过滤器，做到对指定端口进行控制呢？

我

遇到了同样的问题，主要是 nexthdr 是不起作用的，无论是tcp或udp。
希望能实现nexthdr的大虾出来说说。

solegoose

我又用另外一个命令试了一下，
tc filter add dev eth1 parent 1:0 protocol ip prio 100 u32 match ip sport 22 0xffff flowid 1:2
生成的过滤器也是这样的
filter parent 1: protocol ip pref 100 u32
filter parent 1: protocol ip pref 100 u32 fh 800: ht divisor 1
filter parent 1: protocol ip pref 100 u32 fh 800::800 order 2048 key ht 800 bkt 0 flowid 1:2
  match 00160000/ffff0000 at 20
也能进行正常的流量控制。
但这是假定ip头部长度为20个字节。其实ip头部中可能带有选项，长度可能超过20个字节，这样就可能带来问题。
nexthdr是不起作用，不知道怎么用才可以。