如何通过IP在Linux中进行流量整形？

我们有一个透明的代理设置。我尝试在Linux中寻找流量整形，而我在网上只能找到通过接口（eth0 / eth1 ...）限制流量的方法。

我需要通过IP地址或IP范围来限制带宽（永远不要超过特定限制），但我找不到解决方法。

有什么办法吗？

linux ip traffic-shaping ip-address

— 奥萨马
source

Answers:

内核的流量整形层基本上是连接到网卡的数据包调度程序。因此，一种流量整形策略适用于一张网卡。

对于您的情况，您可以做的是创建一个IP地址和所连接带宽的列表，然后为每个IP地址创建：

一个classid标识的流量整形规则
一个netfilter规则，它将数据包标记为特定的标记值
将这些数据包标记为classid的一个过滤器，从而将流量控制规则应用于指定的数据包。

@Zoredache给出的示例有效，但是我个人更喜欢使用Netfilter功能而不是TC来过滤数据包，并使用HTB而不是CBQ来进行交换算法。因此，您可以尝试执行以下操作（关联数组需要Bash 4）：

#! /bin/bash
NETCARD=eth0
MAXBANDWIDTH=100000

# reinit
tc qdisc del dev $NETCARD root handle 1
tc qdisc add dev $NETCARD root handle 1: htb default 9999

# create the default class
tc class add dev $NETCARD parent 1:0 classid 1:9999 htb rate $(( $MAXBANDWIDTH ))kbit ceil $(( $MAXBANDWIDTH ))kbit burst 5k prio 9999

# control bandwidth per IP
declare -A ipctrl
# define list of IP and bandwidth (in kilo bits per seconds) below
ipctrl[192.168.1.1]="256"
ipctrl[192.168.1.2]="128"
ipctrl[192.168.1.3]="512"
ipctrl[192.168.1.4]="32"

mark=0
for ip in "${!ipctrl[@]}"
do
    mark=$(( mark + 1 ))
    bandwidth=${ipctrl[$ip]}

    # traffic shaping rule
    tc class add dev $NETCARD parent 1:0 classid 1:$mark htb rate $(( $bandwidth ))kbit ceil $(( $bandwidth ))kbit burst 5k prio $mark

    # netfilter packet marking rule
    iptables -t mangle -A INPUT -i $NETCARD -s $ip -j CONNMARK --set-mark $mark

    # filter that bind the two
    tc filter add dev $NETCARD parent 1:0 protocol ip prio $mark handle $mark fw flowid 1:$mark

    echo "IP $ip is attached to mark $mark and limited to $bandwidth kbps"
done

#propagate netfilter marks on connections
iptables -t mangle -A POSTROUTING -j CONNMARK --restore-mark

-编辑：忘记默认类，并在脚本末尾传播标记。

— 朱利安·韦恩特
source

umm ..如何为不在列表中的那些添加默认带宽限制？

— Kokizzu

您使用$ mark作为prio定义。对所有人使用相同的优先级会更好吗？

— motobói

如果将“ iptables -t mangle -A INPUT”更改为“ iptables -t mangle -A OUTPUT”，我可以控制从服务器到特定IP的速率吗？

— Frank Barcenas 2015年

此后如何恢复设置？

— Stefan Rogin

Cant'似乎可以做到这一点，手动编写命令而无需为单个ip循环。

— Adones Pitogo，2017年

诸如此类的事情对我来说将承包商的网络摄像头限制在有限的带宽范围内。有关详细信息，请参见手册中的tc。

#!/bin/bash
set -x

DEV=eth0
export DEV

tc qdisc del dev $DEV root
tc qdisc del dev $DEV root
tc qdisc add dev $DEV root handle 1: cbq avpkt 1000 bandwidth 100mbit

# setup a class to limit to 1500 kilobits/s
tc class add dev $DEV parent 1: classid 1:1 cbq rate 1500kbit \
   allot 1500 prio 5 bounded isolated

# add traffic from 10.2.1.37 to that class
tc filter add dev $DEV parent 1: protocol ip prio 16 u32 \
   match ip src 10.2.1.37 flowid 1:1

— Zoredache
source

CBQ有点被遗弃了……您会发现HTB更加易于使用并获得相同的结果

— Julien Vehent 2010年

无需出口DEV如果在这个脚本只使用....

— 格特·范登贝尔赫

我不确定我是否正确理解您的问题。

透明代理（如HTTP的Squid中一样）用于控制大部分传入的数据。而流量整形用于控制传出数据。

您需要提供更多详细信息。如果您在HTTP代理后面有很多工作站，并试图限制其下载速度，则最好使用Squid +延迟池。

— 半
source