помогите с настройкой шейпера

[ultranet 6]

имеется шейпер по ип адресам с ограничением пропускной способности

"USR1ID=1

USR1IP=10.0.0.1

USR1DOWNSPD=1500

tc class add dev eth0 parent 1: classid 1:$USR1ID cbq $USR1DOWNSPD\kbit allot 1500 prio 5 bounded isolated

tc filter add dev eth0 parent 1: protocol ip prio 16 u32 match ip dst $USR1IP flowid 1:$USR1ID

tc qdisc add dev eth0 parent 1:$USR1ID sfq perturb 10",

хотелось бы дописать к нему ограничение количества сессий 

 

(как на микротике

ТСПip firewall filter add chain=forward action=drop tcp-flags=syn protocol=tcp src-address-list=torrent_limit dst-port=!80,443,8080 connection-limit=40,32

УДП ip firewall filter add chain=forward action=drop protocol=udp src-address-list=torrent_limit connection-limit=40,32)

 

 

Всем спс..

[N.Leiten 89]

Вот так:

 

iptables -A INPUT -p tcp -m mport --dports 80,443,8080 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m mport --dports 80,443,8080 -m conntrack --ctstate NEW -m hashlimit --hashlimit-above 40/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name abc --hashlimit-htable-expire 120000 -j REJECT --reject-with tcp-reset

iptables -A INPUT -p udp -m mport --dports 80,443,8080 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp -m mport --dports 80,443,8080 -m conntrack --ctstate NEW -m hashlimit --hashlimit-above 40/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name abc --hashlimit-htable-expire 120000 -j REJECT --reject-with icmp-port-unreachable

 

Ограничит до 40 соединений в секунду по tcp/udp. Вместо REJECT можно поставить DROP, если маршрутизатор сильно нагружен. Как добавить IP, думаю, разберётесь.

Відредаговано 2014-01-21 07:06:36 N.Leiten

[Goblin 1]

имеется шейпер по ип адресам с ограничением пропускной способности

"USR1ID=1

USR1IP=10.0.0.1

USR1DOWNSPD=1500

tc class add dev eth0 parent 1: classid 1:$USR1ID cbq $USR1DOWNSPD\kbit allot 1500 prio 5 bounded isolated

tc filter add dev eth0 parent 1: protocol ip prio 16 u32 match ip dst $USR1IP flowid 1:$USR1ID

tc qdisc add dev eth0 parent 1:$USR1ID sfq perturb 10",

хотелось бы дописать к нему ограничение количества сессий 

 

(как на микротике

ТСПip firewall filter add chain=forward action=drop tcp-flags=syn protocol=tcp src-address-list=torrent_limit dst-port=!80,443,8080 connection-limit=40,32

УДП ip firewall filter add chain=forward action=drop protocol=udp src-address-list=torrent_limit connection-limit=40,32)

 

 

Всем спс..

Оганичение количества сессий строится на правилах iptables, если я правильно понимаю то torrent_limit это список ipset. По человечески эти правила должны выглядеть так:

iptables -t filter -A FORWARD -j DROP -p tcp --tcp-flags SYN -m st --match-set torrent_files src -m multiport --dport ! 80,443,8080 -m connlimit --connlimit-above 40 

хотя конечно могут быть варианы команды, но для этого надо знать что значат все цифирки.

И еще, крайне рекомендую в самом шейпере использовать хеш-таблици для создания правил. А то если много правил будет - машина свернется.

[SuperSonic 19]

Скажите пожалуйста, а ограничение количества pps не повлияет на скорость? торрент сможет разгоняться?

[SDE 52]

Ограничения кол-ва ппс именно для торрентов и делается..соответственно - повлияет.

[SuperSonic 19]

Так а смысле предоставлять, например, людям 100М и при этом резать ппс до 1к? если не будет 100М...

[SDE 52]

 

 

Так а смысле предоставлять, например, людям 100М и при этом резать ппс до 1к?

Да можно, но есть ещё и ftp... А так вообще нужно просто знать и чувствовать границы(свои и своей не резиновой сети с точки зрения ппс)

 

 

 

если не будет 100М...

Вот дальше я не совсем понял Ваши мысли.

[logic 522]

все там будет ...

[SuperSonic 19]

хм...проверял ранее не было, ну проверю ещё раз и отпишусь....

[SuperSonic 19]

все там будет ...

 

поставил рейт 200ппс для юдп, 2 мбита скорость

 

 

/ip firewall filter

add action=add-dst-to-address-list address-list=dst_list chain=forward dst-address=192.168.100.20 protocol=udp

add action=add-src-to-address-list address-list=src_list chain=forward dst-address=!192.168.100.20 protocol=udp

add chain=forward dst-address-list=dst_list dst-limit=200,200,dst-address protocol=udp

add chain=forward src-address-list=src_list dst-limit=200,200,src-address protocol=udp

add action=reject chain=forward dst-address-list=dst_list protocol=udp

add action=reject chain=forward src-address-list=src_list protocol=udp

 

[SuperSonic 19]

ВОобще хочу ограничить колво пакетов на отдачу (upload)

В торренте на закачку в 50М - 5к ппс и при этом на отдачу в 2-3М тежи 5к ппс