iptables的妙用——條件限速

zhoutao0712

某些路由器具有所謂的流量控制中具有“懲罰性限速”的功能：（例如）192.168.1.100在120秒內(nèi)平均速率超過100KB/S，那么把該IP
列入懲罰隊列，懲罰隊列速率是40KB/S.

其實，利用iptables的也可以實現(xiàn)類似的功能。腳本如下：

1. 
   
2. iptables -t mangle -N LMT
   
3. iptables -t mangle -N LMT2
   
4. iptables -t mangle -I FORWARD -d 192.168.1.100 -m length --length 128: -j LMT
   
5. iptables -t mangle -A LMT -m recent --rdest --name badguy --rcheck --seconds 60 -j LMT2
   
6. iptables -t mangle -A LMT -m limit --limit 100/sec --limit-burst 5000 -j RETURN
   
7. iptables -t mangle -A LMT -m recent --rdest --name badguy --set -j RETURN
   
8. iptables -t mangle -A LMT2 -m limit --limit 50/sec --limit-burst 5000 -j RETURN
   
9. iptables -t mangle -A LMT2 -j DROP
   

復(fù)制代碼

上面代碼是用limit限制計算速率，為了更準(zhǔn)確，使用了數(shù)據(jù)包長度篩選: “-m length --length 128:”，這樣更準(zhǔn)確一點。
一般限制為100/s，按照數(shù)據(jù)包平均大小1000Bytes來算，大概就是100KB/S。
如果超出，限制變?yōu)?0/sec，大約50KB/S。

當(dāng)然，這只是一個示范性的例子了，其中l(wèi)imit模塊也可以改用更為強大的hashlimit，hashsped等模塊。
還可以用connlimit使用連接數(shù)作為限制條件。。。。。。。。。。
如果再把這些模塊結(jié)合MARK和TC流量控制，就實現(xiàn)了某些路由器的所謂“條件限速”“P2P懲罰”等功能。

[ 本帖最后由 zhoutao0712 于 2010-1-30 13:58 編輯 ]

wendaozhe

好，謝謝分享！
hashlimit和recent是很好的模塊！

nagaregawa

學(xué)習(xí)

emmoblin

如何判斷連續(xù)超過100K呢？
目前實現(xiàn)不了

wheel

不錯。。收下老

snow888

學(xué)習(xí)了.

hc_ttcm

192.168.1.100在120秒內(nèi)平均速率超過100KB/S


這個咋得到的？

bigarade

這個可以實際操作么?

萬里北國

好

jinxl560

學(xué)習(xí)了啊