fb能否用ipfw+PF做为限ip网速的安全网关?

zrover

比如我们网吧有200台机器.

ipfw做单ip限速(弥补pf在此方面的不足)
pf做nat和防火墙,

不知道有没有人实现???

我想应该有很多人需要这个,毕竟单ip限速能限制p2p的速度

44040321

我也在研究pf单机流量控制  头疼 找不到好办法。 呵呵`
QQ： 44040321

bestwc

但IP限速我不太清楚，没做过。

我的应用环境中DUMMYNET PIPE限总速。

我映像中IPFW限制单机速度估计有200台客户机就得添加200条控制语句吧？

namsamdo

之前我做过IPFW的限速和nat，给你找找资料＝＝＝＝＝＝＝＝＝

namsamdo

网关安装注意事项
kernel添加这些选项

options         IPFILTER                               #启用IPF
options         IPFILTER_LOG
options         IPFIREWALL                             #启用IPFW
options         IPFIREWALL_VERBOSE
options         IPFIREWALL_FORWARD
options         IPFIREWALL_DEFAULT_TO_ACCEPT
options         IPDIVERT

options         NMBCLUSTERS=65535
options         TCP_DROP_SYNFIN
options         DUMMYNET           #启用流量功能
options         HZ=10000

编译内核

/etc/rc.conf 添加内容

gateway_enable="YES"
kern_securelevel_enable="YES"
kern_securelevel="2"
sendmail_enable="NONE"

##########IP-firewall#################
firewall_enable="YES"
firewall_quiet="NO"
firewall_logging="YES"
firewall_flags=""
firewall_script="/etc/rc.ipfw"
firewall_type="OPEN"
##########NATD#######################
natd_interface="fxp1"                     #fxp1 外网得网卡
natd_enable="YES"
natd_flags="-config /etc/natd.conf"

/etc/natd.conf  是作为网关映射内部端口使用
一定要有这样得文件,里面什么都没有也可以,否则不能使用natd.
#redirect_port tcp 192.168.0.2:25 x.x.x.x:25 //把对服务器IP为x.x.x.x的smtp访问转到192.168.0.2的25上去。
#redirect_port tcp 192.168.0.2:80 x.x.x.x:80 //把对服务器IP为x.x.x.x的http访问转到192.168.0.2的80上去。

/etc/rc.ipfw
#!/bin/sh
#Clean first
/sbin/ipfw -f flush

#210.21.33.68 fxp1
#192.168.12.11/23 fxp0

# Nat
/sbin/ipfw add 00010 divert natd ip from any to any via fxp1    #fxp1外网网卡


# Staff
/sbin/ipfw pipe 300 config mask dst-ip 0x000000ff bw 256Kbit/s delay 0ms
/sbin/ipfw pipe 301 config mask src-ip 0x000000ff bw 256Kbit/s delay 0ms

# No Limit
/sbin/ipfw pipe 302 config mask dst-ip 0x000000ff bw 100Mbit/s delay 0ms
/sbin/ipfw pipe 303 config mask src-ip 0x000000ff bw 100Mbit/s delay 0ms

# Black List
/sbin/ipfw pipe 304 config mask dst-ip 0x000000ff bw 1Kbit/s delay 500ms
/sbin/ipfw pipe 305 config mask src-ip 0x000000ff bw 1Kbit/s delay 500ms

/sbin/ipfw add 100 pipe 302 ip from any to me in
/sbin/ipfw add 100 pipe 303 ip from me to any out
/sbin/ipfw add 101 pipe 300 ip from any to 192.168.12.0/23 in
/sbin/ipfw add 101 pipe 301 ip from 192.168.12.0/23 to any out

# Servers
/sbin/ipfw add 30 pipe 302 ip from any to 192.168.10.107 in
/sbin/ipfw add 30 pipe 303 ip from 192.168.10.107 to any out
/sbin/ipfw add 30 pipe 302 ip from any to 192.168.10.235 in
/sbin/ipfw add 30 pipe 303 ip from 192.168.10.235 to any out

bestwc

收藏，感谢共享。

44040321

谢谢

蔡都小周

谢谢楼主分享！