IPTABLES-特定传入IP的限制速率

#1 楼

IPTables并非用于此类工作，在这种情况下，需要分析很多数据包才能做出这些决定。 IPTables一定程度上是答案！请注意，在不知道发生了什么情况的情况下弄乱它可能会导致您失去与计算机的网络连接！已警告您！

假设eth0是传出设备，则需要创建一个基于类的流量控制队列，该队列默认情况下将通过“快速”队列输出大多数流量，并放置一个人们进入“慢速”队列。

它的优点是您可以创建一种情况，允许慢速用户使用大量出站流量，除非上级阶级需要带宽，但是此示例不这样做这样做（将始终为慢速用户提供10kbps）。排队系统看起来像这样：

                         Inbound traffic
                              +
                              |
                              |
                              v
                     +------------------+
                     |   Class 1:1      |
                     |------------------|
                     |  Root (all flows)|
                     |       100mbit    |
                     +-----+-----+------+
                           |     |
                           |     |
                           |     |
                           |     |
                           |     |
          +----------+     |     |     +----------+
          |    1:11  +-----+     +-----+    1:12  |
          |----------|                 |----------|
          | Default  |                 | Slow     |
          |100mb-80kb|                 |   80kb   |
          +----------+                 +----------+

为此，首先需要在内核中设置排队规则。以下将为您执行此操作..您必须将其作为一个完整的脚本运行

#!/bin/bash
tc qdisc add dev eth0 parent root handle 1: hfsc default 11
tc class add dev eth0 parent 1: classid 1:1 hfsc sc rate 100mbit ul rate 100mbit
tc class add dev eth0 parent 1:1 classid 1:11 hfsc sc rate 99920kbit ul rate 100000kbit
tc class add dev eth0 parent 1:1 classid 1:12 hfsc sc rate 80kbit ul rate 80kbit

tc qdisc add dev eth0 parent 1:11 handle 11:1 pfifo
tc qdisc add dev eth0 parent 1:12 handle 12:1 pfifo

“ default 11”很重要，因为它告诉内核如何处理通信未分类。

完成后，您就可以设置iptables规则对符合特定条件的数据包进行分类。如果您打算将很多人放入这个缓慢的规则中，则更适合使用ipset规则（我认为应该在rhel6上可以使用它）。

因此，创建一个ipset数据库来进行匹配...

ipset create slowips hash:ip,port

然后创建iptables规则进行匹配。.

iptables -t mangle -I OUTPUT -m set --match-set slowips dst,src -j CLASSIFY --set-class 1:12

该指令如果您将目标IP与集合中的源端口进行匹配，请将该内核分类为使用流量控制设置的慢​​速队列。

现在，终于，每当您要降低IP速度时，都可以使用ipset命令将ip添加到集合中，如下所示：

ipset add slowips 192.168.1.1,80
ipset add slowips 192.168.1.1,21
...

您可以测试它的工作原理使用命令“ tc -s class show dev eth0”，您将在其中看到指示数据包已重定向到慢速队列的统计信息。我认为没有任何初始化脚本可用于在重新启动时从转储中创建ipset（并且它们也必须在iptables规则之前创建），而且我敢肯定没有初始化脚本可在重新启动时重置流量控制规则。如果您不担心，则可以通过调用rc.local中的脚本来重新创建整个内容。

#2 楼

就像制定速率限制规则并添加-s开关一样简单。 -s交换机匹配传入的IP。例如iptables -A INPUT -s 1.1.1.1，然后以该规则的首选速率限制方法结束。