linux網(wǎng)橋做流量控制時(shí)使用iptables的MARK問(wèn)題

ssmarine

我訪問(wèn)一個(gè)網(wǎng)站，它的IP是211.152.50.239
之前我把MARK語(yǔ)句改了

1. 
   
2. # Generated by iptables-save v1.2.11 on Sat Jun 23 01:46:41 2007
   
3. *mangle
   
4. :PREROUTING ACCEPT [17070:3759946]
   
5. :INPUT ACCEPT [5343:360470]
   
6. :FORWARD ACCEPT [11720:3399196]
   
7. :OUTPUT ACCEPT [6097:660225]
   
8. :POSTROUTING ACCEPT [17817:4059421]
   
9. [0:0] -A PREROUTING -d 211.152.50.239 -i eth2 -j MARK --set-mark 0xb
   
10. [0:0] -A PREROUTING -d 211.152.50.239 -i eth2 -j RETURN
    
11. [31:18061] -A PREROUTING -d 192.168.0.3 -i eth1 -j MARK --set-mark 0x16
    
12. [31:18061] -A PREROUTING -d 192.168.0.3 -i eth1 -j RETURN
    
13. COMMIT
    
14. # Completed on Sat Jun 23 01:46:41 2007
    

復(fù)制代碼

然后訪問(wèn)這個(gè)網(wǎng)站，流量結(jié)果為：

1. 
   
2. [root@localhost ~]# tc -s qdisc ls dev eth1
   
3. qdisc htb 1: r2q 10 default 20 direct_packets_stat 0
   
4. Sent 18406 bytes 235 pkts (dropped 0, overlimits 0)
   
5. 
   
6. qdisc sfq 10: parent 1:10 quantum 1514b perturb 10sec
   
7. Sent 17260 bytes 220 pkts (dropped 0, overlimits 0)
   
8. 
   
9. qdisc sfq 20: parent 1:20 quantum 1514b perturb 10sec
   
10. Sent 1146 bytes 15 pkts (dropped 0, overlimits 0)
    

復(fù)制代碼

流量是到子類10上去了。

ssmarine

我看東西就是不仔細(xì)，所以被你說(shuō)的團(tuán)團(tuán)轉(zhuǎn)，呵呵。

platinum

我看東西也不夠仔細(xì)，早該發(fā)現(xiàn)是 -s 與 -d 的問(wèn)題

dreamever

十分感謝各位的分析

我之前忘了把拓?fù)涓嬖V大家了，簡(jiǎn)易拓?fù)淙缦拢?br />
使用網(wǎng)橋時(shí)：內(nèi)部（90.0.11.66）------------------（eth2）網(wǎng)橋(br0)（eth1）---------------------外部（90.0.11.0/24）
            其實(shí)上面是同一個(gè)網(wǎng)絡(luò)，內(nèi)外網(wǎng)的說(shuō)法有問(wèn)題的，我是想突出說(shuō)明問(wèn)題，希望沒(méi)有造成誤解。在這里是想限制90.0.11.66的網(wǎng)速，所以我覺(jué)得 -i eth2 -s 90.0.11.66/32   和 -i eth1 -d 90.0.11.66/32 應(yīng)該沒(méi)有邏輯錯(cuò)誤吧。

使用網(wǎng)關(guān)NAT：內(nèi)部（192.168.1.6）---------（eth2:192.168.1.3）網(wǎng)關(guān)(nat)（eth1:90.0.11.77）----------------外部（90.0.11.0/24）
            iptables:-i eth2 -s 192.168.1.6/32  和  -i eth1 -d 192.168.1.6/32 對(duì)這個(gè)pc限速。

phoenixson

原帖由 platinum 于 2007-6-27 23:20 發(fā)表于 18樓  
你又做錯(cuò)了
iptables -t mangle -A PREROUTING -i eth2 -s 90.0.11.66/32 -j MARK --set-mark 11
iptables -t mangle -A PREROUTING -i eth2 -s 90.0.11.66/32 -j RETURN
這個(gè)之前沒(méi)有匹配到，是因?yàn)?-s 的問(wèn) ...

人家不是說(shuō)第一種是bridge方式么？

platinum

誰(shuí)會(huì)想到 90.0.11.66 是個(gè)內(nèi)網(wǎng)地址？

dreamever

根據(jù)大家的看法我做了以下測(cè)試：


tc qdisc add dev eth1 root handle 1: htb default 20

tc class add dev eth1 parent 1: classid 1:1 htb rate 100mbit burst 1k

tc class add dev eth1 parent 1:1 classid 1:10 htb rate 100kbit  burst 1k

tc class add dev eth1 parent 1:1 classid 1:20 htb rate 100mbit burst 1k

tc qdisc add dev eth1 parent 1:10 handle 10: sfq perturb 10
tc qdisc add dev eth1 parent 1:20 handle 20: sfq perturb 10
tc filter add dev eth1 protocol ip parent 1:0 prio 8 handle 11 fw flowid 1:10

iptables -t mangle -F
iptables -t mangle -A PREROUTING -i eth2 -d 59.68.192.130/32 -j MARK --set-mark 11
iptables -t mangle -A PREROUTING -i eth2 -d 59.68.192.130/32 -j RETURN



tc qdisc add dev eth2 root handle 1: htb default 40

tc class add dev eth2 parent 1: classid 1:1 htb rate 100mbit burst 100m

tc class add dev eth2 parent 1:1 classid 1:30 htb rate 100kbit  burst 1k

tc class add dev eth2 parent 1:1 classid 1:40 htb rate 100mbit burst 99m

tc qdisc add dev eth2 parent 1:30 handle 30: sfq perturb 10
tc qdisc add dev eth2 parent 1:40 handle 40: sfq perturb 10
tc filter add dev eth2 protocol ip parent 1:0 prio 8 handle 22 fw flowid 1:30

iptables -t mangle -A PREROUTING -i eth1 -d 192.168.0.3/32 -j MARK --set-mark 22
iptables -t mangle -A PREROUTING -i eth1 -d 192.168.0.3/32 -j RETURN

測(cè)試發(fā)現(xiàn)，上傳到59.68.192.130/32 的數(shù)據(jù)流量確實(shí)走的10子類，而從59.68.192.130/32 下載的數(shù)據(jù)流量走的是40子類。

改為：
iptables -t mangle -A PREROUTING -i eth1 -s 59.68.192.130/32 -j MARK --set-mark 22
iptables -t mangle -A PREROUTING -i eth1 -s 59.68.192.130/32 -j RETURN

測(cè)試發(fā)現(xiàn)，從59.68.192.130/32 下載的數(shù)據(jù)流量走的是30子類，如此看來(lái)前面問(wèn)題的發(fā)生跟nat有關(guān)，不是MARK有問(wèn)題。數(shù)據(jù)進(jìn)來(lái)的時(shí)候先經(jīng)過(guò)mangle的prerouting，然后進(jìn)nat的prerouting。所以，在mangle的prerouting匹配192.168.0.3是匹配不到的。
不知以上分析的是否正確，錯(cuò)誤之處敬請(qǐng)指出。

內(nèi)部（192.168.0.3）--------（eth2:192.168.0.1）網(wǎng)關(guān)(nat)（eth1:90.0.11.77）---------外部（90.0.11.0/24）---------FTP服務(wù)器（59.68.192.130）

[ 本帖最后由 dreamever 于 2007-6-28 12:27 編輯 ]

ssmarine

沒(méi)錯(cuò)，就是這個(gè)意思。
不過(guò)昨天我確實(shí)沒(méi)看清楚開(kāi)始是做的BRIDGE，呵呵。

dreamever

我把27樓的nat 換成網(wǎng)橋還是不行，不知道為什么。做法如下：
內(nèi)部（90.0.11.66）----------（eth2）網(wǎng)橋(br0)（eth1）---------外部（90.0.11.0/24）---------FTP服務(wù)器（59.68.192.130）

tc qdisc add dev eth1 root handle 1: htb default 20

tc class add dev eth1 parent 1: classid 1:1 htb rate 100mbit burst 1k

tc class add dev eth1 parent 1:1 classid 1:10 htb rate 100kbit  burst 1k

tc class add dev eth1 parent 1:1 classid 1:20 htb rate 100mbit burst 1k

tc qdisc add dev eth1 parent 1:10 handle 10: sfq perturb 10
tc qdisc add dev eth1 parent 1:20 handle 20: sfq perturb 10
tc filter add dev eth1 protocol ip parent 1:0 prio 8 handle 11 fw flowid 1:10

iptables -t mangle -F
iptables -t mangle -A PREROUTING -i eth2 -d 59.68.192.130/32 -j MARK --set-mark 11
iptables -t mangle -A PREROUTING -i eth2 -d 59.68.192.130/32 -j RETURN



tc qdisc add dev eth2 root handle 1: htb default 40

tc class add dev eth2 parent 1: classid 1:1 htb rate 100mbit burst 100m

tc class add dev eth2 parent 1:1 classid 1:30 htb rate 100kbit  burst 1k

tc class add dev eth2 parent 1:1 classid 1:40 htb rate 100mbit burst 99m

tc qdisc add dev eth2 parent 1:30 handle 30: sfq perturb 10
tc qdisc add dev eth2 parent 1:40 handle 40: sfq perturb 10
tc filter add dev eth2 protocol ip parent 1:0 prio 8 handle 22 fw flowid 1:30


iptables -t mangle -A PREROUTING -i eth1 -s 59.68.192.130/32 -j MARK --set-mark 22
iptables -t mangle -A PREROUTING -i eth1 -s 59.68.192.130/32 -j RETURN

后來(lái)干脆使用br0，不過(guò)沒(méi)用，還是沒(méi)有效果。


tc qdisc add dev br0 root handle 1: htb default 20

tc class add dev br0 parent 1: classid 1:1 htb rate 100mbit burst 1k

tc class add dev br0 parent 1:1 classid 1:10 htb rate 100kbit  burst 1k

tc class add dev br0 parent 1:1 classid 1:20 htb rate 100mbit burst 1k

tc qdisc add dev br0 parent 1:10 handle 10: sfq perturb 10
tc qdisc add dev br0 parent 1:20 handle 20: sfq perturb 10
tc filter add dev br0 protocol ip parent 1:0 prio 8 handle 11 fw flowid 1:10

iptables -t mangle -F
iptables -t mangle -A PREROUTING -i br0 -d 59.68.192.130/32 -j MARK --set-mark 11
iptables -t mangle -A PREROUTING -i br0 -d 59.68.192.130/32 -j RETURN
iptables -t mangle -A PREROUTING -i br0 -s 59.68.192.130/32 -j MARK --set-mark 11
iptables -t mangle -A PREROUTING -i br0 -s 59.68.192.130/32 -j RETURN


不知兄弟們有何高見(jiàn)

[ 本帖最后由 dreamever 于 2007-6-28 16:13 編輯 ]

platinum

貼 iptables-save -ct mangle，看是否在網(wǎng)橋下被匹配并打包了