Настройка шейпера
Перейти к навигации
Перейти к поиску
Тут я приведу пример своего шейперра. Для того, что бы все функции его заработали нужно пропачить ядро, iptables и iproute.
Смотри Наложение патчей IMQ, ESFQ и Layer7
Содержание
Задачи, решаемые шейпером
1. Обеспечить справедливое разделение internet канала между пользователями
2. Ввести ограничение на входящий трафик, что бы у исходящего трафика не было задержек.
3. Использовать IMQ интерфейсы
4. Использовать справедливое деление канала ESFQ
Литература
Использовалась Linux Advanced Routing & Traffic Control HOWTO
Сам скрипт
Файл speed.sh
#!/bin/bash #set -x # Загружаем модули, если они были не загружены /sbin/modprobe ip_tables /sbin/modprobe ip_conntrack /sbin/modprobe iptable_filter /sbin/modprobe iptable_mangle /sbin/modprobe iptable_nat /sbin/modprobe ipt_LOG /sbin/modprobe ipt_limit /sbin/modprobe ipt_state /sbin/modprobe ipt_owner /sbin/modprobe ipt_REJECT /sbin/modprobe ipt_MASQUERADE /sbin/modprobe ip_conntrack_ftp /sbin/modprobe ip_conntrack_irc /sbin/modprobe ip_nat_ftp /sbin/modprobe ip_nat_irc echo "1" > /proc/sys/net/ipv4/ip_forward #eth2 - внешний интерфейс #eth0 - внутренний интерфейс # IP адрес человека, которог надо ограничить более низкой скоростью ip_bad=172.16.131.13 ip_bad1=172.16.131.49 ipt=/usr/local/sbin/iptables ipr=/usr/sbin/tc # Интернетовская внутренняя сеть VPN in_net=172.16.131.0/24 # Внешния IP адрес сервера out_adr=78.36.15.11 touch /var/lock/subsys/local #DEV_OUT=eth0 # Внешний интерфейс DEV_OUT=eth2 # Внутренний интерфейс DEV_IN=eth1 # Загружаем модуль IMQ modprobe imq numdevs=4 # Максимальная входящая от прова скорость интернета (kbit)- Делаем четь меньше скорости, которую # +дает провайдер RATEOUT=500 # Максимальная исходящая от прова скорость интернета (kbit)- Делаем четь меньше скорости, которую # +дает провайдер RATEDN=500 # Сбросить все в известное состояние (очищеное) $ipr qdisc del dev imq0 root 2> /dev/null > /dev/null $ipr qdisc del dev imq1 root 2> /dev/null > /dev/null # очистка таблицы mangle $ipt -t mangle -F $ipr qdisc del dev imq0 root &> /dev/null $ipr qdisc del dev imq1 root &> /dev/null $ipt -t mangle -D POSTROUTING -o ppp+ -d $in_net -j POST_MY 2> /dev/null > /dev/null $ipt -t mangle -F POST_MY 2> /dev/null > /dev/null $ipt -t mangle -X POST_MY 2> /dev/null > /dev/null $ipt -t mangle -F MYSHAPER-IN 2> /dev/null > /dev/null $ipt -t mangle -X MYSHAPER-IN 2> /dev/null > /dev/null $ipt -t mangle -D PREROUTING -i ppp+ -s $in_net -j PRE_MY 2> /dev/null > /dev/null $ipt -t mangle -F PRE_MY 2> /dev/null > /dev/null $ipt -t mangle -X PRE_MY 2> /dev/null > /dev/null ip link set imq0 down 2> /dev/null > /dev/null ip link set imq1 down 2> /dev/null > /dev/null rmmod imq 2> /dev/null > /dev/null modprobe imq numdevs=4 #ip link set imq0 up ip link set imq0 up # ограничение скорости канала ----------------------------------------------------------------- ########################################################### # # Ограничение исходящего потока (ограничивает пропускную способность до RATEUP) # установить размер очереди, соответствующий двухсекундной задержке на низкоприоритетном трафике ip link set dev imq0 qlen 10 # изменяем значение mtu на исходящем устройстве. Понижение значения mtu уменьшит задержку, но # и немного понизит пропускную способность из-за увеличения числа # заголовков протоколов IP и TCP . ip link set dev imq0 mtu 1400 $ipr qdisc add dev imq0 root handle 1: htb default 14 r2q 1 #$ipr qdisc add dev $ethi root handle 1: htb $ipr class add dev imq0 parent 1: classid 1:1 htb rate $[$RATEOUT]kbit ceil ${RATEOUT}kbit # ssh, DNS, Голосовая почта $ipr class add dev imq0 parent 1:1 classid 1:10 htb rate $[$RATEOUT/3]kbit ceil ${RATEOUT}kbit prio 0 # HTTP $ipr class add dev imq0 parent 1:1 classid 1:11 htb rate $[$RATEOUT/4]kbit ceil ${RATEOUT}kbit prio 1 # ftp, bittonet $ipr class add dev imq0 parent 1:1 classid 1:12 htb rate $[$RATEOUT/6]kbit ceil ${RATEOUT}kbit prio 4 # bad users $ipr class add dev imq0 parent 1:1 classid 1:13 htb rate $[$RATEOUT/8]kbit ceil $[$RATEOUT/3]kbit prio 6 # Other $ipr class add dev imq0 parent 1:1 classid 1:14 htb rate $[$RATEOUT/4]kbit ceil ${RATEOUT}kbit prio 3 $ipr qdisc add dev imq0 parent 1:10 handle 100: esfq perturb 10 $ipr qdisc add dev imq0 parent 1:11 handle 110: esfq perturb 10 $ipr qdisc add dev imq0 parent 1:12 handle 120: esfq perturb 10 $ipr qdisc add dev imq0 parent 1:13 handle 130: esfq perturb 10 $ipr qdisc add dev imq0 parent 1:14 handle 140: esfq perturb 10 $ipr filter add dev imq0 protocol ip parent 1:0 prio 0 handle 1 fw flowid 1:10 $ipr filter add dev imq0 protocol ip parent 1:0 prio 1 handle 2 fw flowid 1:11 $ipr filter add dev imq0 protocol ip parent 1:0 prio 2 handle 3 fw flowid 1:12 $ipr filter add dev imq0 protocol ip parent 1:0 prio 4 handle 4 fw flowid 1:13 $ipr filter add dev imq0 protocol ip parent 1:0 prio 3 handle 5 fw flowid 1:14 #set -x $ipt -t mangle -N POST_MY $ipt -t mangle -N PRE_MY $ipt -t mangle -I POSTROUTING -o ppp+ -d $in_net -j POST_MY $ipt -t mangle -I PREROUTING -i ppp+ -s $in_net -j PRE_MY $ipt -t mangle -A POST_MY -p tcp --sport 5190 -j MARK --set-mark 0x2 # интернет-пейджер aol # ICMP (ping) - высокий приоритет, $ipt -t mangle -A POST_MY -p icmp -j MARK --set-mark 0x1 $ipt -t mangle -A POST_MY -m tos --tos Minimize-Delay -j MARK --set-mark 0x1 $ipt -t mangle -A POST_MY -m tos --tos Maximize-Throughput -j MARK --set-mark 0x4 $ipt -t mangle -A POST_MY -p tcp -m length --length :64 -j MARK --set-mark 0x1 # маленькие пакеты # скорее всего ACK-пакеты #set -x # SSH $ipt -t mangle -A POST_MY -p tcp -m tcp --sport 22 -j MARK --set-mark 0x1 # Голсовая почта $ipt -t mangle -A POST_MY -p tcp -m tcp --sport 5038 -j MARK --set-mark 0x1 #$ipt -t mangle -A PRE_MY -p tcp -m tcp --sport 2000 -j MARK --set-mark 0x1 # SYN $ipt -t mangle -A POST_MY -p tcp -m tcp --tcp-flags SYN,RST,ACK, SYN -j MARK --set-mark 0x1 # DNS $ipt -t mangle -A POST_MY -p UDP -j MARK --set-mark 1 $ipt -t mangle -A POST_MY -p tcp -m tcp --sport 53 -j MARK --set-mark 1 #set +x # HTTP трафик $ipt -t mangle -A POST_MY -m layer7 --l7proto http -j MARK --set-mark 0x2 $ipt -t mangle -A PRE_MY -p tcp -m layer7 --l7proto http -j MARK --set-mark 0x2 # Плохие пользователи $ipt -t mangle -A POSTROUTING -o ppp+ -p tcp -s $ip_bad/255.255.255.255 -j MARK --set-mark 0x4 $ipt -t mangle -A POSTROUTING -o ppp+ -p tcp -d $ip_bad/255.255.255.255 -j MARK --set-mark 0x4 $ipt -t mangle -A POSTROUTING -o ppp+ -p tcp -s $ip_bad1/255.255.255.255 -j MARK --set-mark 0x4 $ipt -t mangle -A POSTROUTING -o ppp+ -p tcp -d $ip_bad1/255.255.255.255 -j MARK --set-mark 0x4 # FTP Bittonet $ipt -t mangle -A POST_MY -m layer7 --l7proto bittorrent -j MARK --set-mark 0x3 $ipt -t mangle -A POST_MY -m layer7 --l7proto directconnect -j MARK --set-mark 0x3 $ipt -t mangle -A POST_MY -m layer7 --l7proto ftp -j MARK --set-mark 0x3 # Паренаправляем очередь на IMQ $ipt -t mangle -A POST_MY -j IMQ --todev 0 $ipt -t mangle -A FORWARD -i eth0 -o eth0 -j DROP $ipt -t mangle -A FORWARD -i eth1 -o eth1 -j DROP $ipt -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu #################################################### # # Ограничение входящего потока (ограничивает пропускную способность до RATEDN) # убедимся, что модуль imq загружен #exit modprobe imq numdevs=4 ip link set imq1 up ip link set dev imq1 qlen 1000 # добавляем дисциплину - низкоприоритетный класс по умолчанию 1:21 tc qdisc add dev imq1 handle 1: root htb default 21 # добавляем общее ограничение скорости по классу tc class add dev imq1 parent 1: classid 1:1 htb rate ${RATEDN}kbit # добавляем подклассы - TCP traffic in 21, non TCP traffic in 20 # tc class add dev imq1 parent 1:1 classid 1:20 htb rate $[$RATEDN/2]kbit ceil ${RATEDN}kbit prio 0 tc class add dev imq1 parent 1:1 classid 1:21 htb rate $[$RATEDN/2]kbit ceil ${RATEDN}kbit prio 1 # подключаем дисциплины обработки очереди к подклассам - здесь мы используем SFQ для каждого класса. # SFQ обеспечит почти честное деление полосы пропускания между соединениями # внутри каждого класса. tc qdisc add dev imq1 parent 1:20 handle 20: sfq perturb 10 tc qdisc add dev imq1 parent 1:21 handle 21: red limit 1000000 min 5000 max 100000 avpkt 1000 burst 50 # направляем трафик в классы по fwmark - мы направляем трафик в классы, в соответствии со значением # fwmark установленном на пакете (мы будем устанавливать это # значение утилитой iptables позже). Обратите внимание, что # выше мы установили класс по умолчанию 1:26, так что # немаркированные пакеты (или с неизвестными значениями fwmark # будут направлены в низкоприоритетный класс. tc filter add dev imq1 parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20 tc filter add dev imq1 parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21 # добавить цепочку MYSHAPER-OUT в таблицу mangle - сейчас мы настроим таблицу, которую будем # использовать для фильтрации и установки fwmark $ipt -t mangle -N MYSHAPER-IN $ipt -t mangle -I PREROUTING -i $DEV_OUT -j MYSHAPER-IN # маркируем пакеты с помощью fwmark - устанавливаем значения 20-26 в зависимости от # нужного класса. Высший приоритет - 20. $ipt -t mangle -A MYSHAPER-IN -p ! tcp -j MARK --set-mark 20 # Маркировать не-tcp пакеты как высокоприоритетные $ipt -t mangle -A MYSHAPER-IN -p tcp -m length --length :64 -j MARK --set-mark 20 # маленькие TCP-пакеты - вероято ACK $ipt -t mangle -A MYSHAPER-IN -p tcp --dport ssh -j MARK --set-mark 20 # secure shell $ipt -t mangle -A MYSHAPER-IN -p tcp --sport ssh -j MARK --set-mark 20 # secure shell #$ipt -t mangle -A MYSHAPER-IN -p tcp --dport telnet -j MARK --set-mark 20 # telnet (ew...) #$ipt -t mangle -A MYSHAPER-IN -p tcp --sport telnet -j MARK --set-mark 20 # telnet (ew...) $ipt -t mangle -A MYSHAPER-IN -m mark --mark 0 -j MARK --set-mark 21 # избыточно - маркировать немаркированные # пакеты как 26 (низкий приоритет) # Наконец, пропустить все эти пакеты через imq0 $ipt -t mangle -A MYSHAPER-IN -j IMQ --todev 1 # Конец ограничения входящего потока # ####################################################
Скрипт по сбросу всех установок
Файл high_speed.sh
#!/bin/bash #set -x # Внутренняя сеть VPN in_net=172.16.131.0/24 # Сбросить все в известное состояние (очищеное) $ipr qdisc del dev imq0 root 2> /dev/null > /dev/null $ipr qdisc del dev imq1 root 2> /dev/null > /dev/null # очистка таблицы mangle $ipt -t mangle -F $ipr qdisc del dev imq0 root &> /dev/null $ipr qdisc del dev imq1 root &> /dev/null $ipt -t mangle -D POSTROUTING -o ppp+ -d $in_net -j POST_MY 2> /dev/null > /dev/null $ipt -t mangle -F POST_MY 2> /dev/null > /dev/null $ipt -t mangle -X POST_MY 2> /dev/null > /dev/null $ipt -t mangle -F MYSHAPER-IN 2> /dev/null > /dev/null $ipt -t mangle -X MYSHAPER-IN 2> /dev/null > /dev/null $ipt -t mangle -D PREROUTING -i ppp+ -s $in_net -j PRE_MY 2> /dev/null > /dev/null $ipt -t mangle -F PRE_MY 2> /dev/null > /dev/null $ipt -t mangle -X PRE_MY 2> /dev/null > /dev/null ip link set imq0 down 2> /dev/null > /dev/null ip link set imq1 down 2> /dev/null > /dev/null rmmod imq 2> /dev/null > /dev/null
Тестирование
С помощью команды
$/usr/local/sbin/iptables -L -n -v -t mangle
Можно посмотреть цепочки таблицы mangle и попадает туда трафик или нет
С помощью команды
/usr/sbin/tc -s class show dev imq0
можно просмотреть очереди и их изменения.