ntil Posted December 3, 2011 Posted December 3, 2011 Дано: Таз с линуксом интерфейсы: eth0 - интернет eth1 - интернет (точка обмена), не шейпим eth2 - юзера + НАТ необходимо: красим входящий трафик на eth0 при помощи iptables MARK необходимо шейпить исход крашеный на интерфейсе eth2 поскольку юзеров ок 1К - банальный tc filter по меткам выжерает проц - на каждого юзера свое правило Хешевый шейпинг совместно с метками не работает. вариант - заворачивать крашеный (только его) трафик в ifb0 и там шейпить per-user хешами. как правильно завернуть? ато у меня tc filter add dev eth2 parent 2: protocol ip prio 7 handle 10 fw action mirred egress redirect dev ifb0 поворачивает все. или просто некорректно там работает :( Вставить ник Quote
6PATyCb Posted December 4, 2011 Posted December 4, 2011 Как добавляются правила марка в iptables?Сколько вообще правил в iptables? Я скриптом маркирую, раскидывая пулы по 255 адресов в разные таблицы. В tc фильтры на марки лежат просто списком и 3к юзверей пролетают без проблем. NAT тоже есть. Вставить ник Quote
NiTr0 Posted December 4, 2011 Posted December 4, 2011 Никак не завернете крашеный трафик, и никак не разберете его на ifb, т.к. трафик на ifb попадает до того, как попадет в prerouting. Заворот трафика на сети точки обмена в отдельный класс, остальное - разбирать хеш-таблицами. И будет счастье. Или выносить нат на отдельный тазик. Или пользовать imq вместо ifb. Вставить ник Quote
ntil Posted December 4, 2011 Author Posted December 4, 2011 Никак не завернете крашеный трафик, и никак не разберете его на ifb, т.к. трафик на ifb попадает до того, как попадет в prerouting. Заворот трафика на сети точки обмена в отдельный класс, остальное - разбирать хеш-таблицами. И будет счастье. Или выносить нат на отдельный тазик. Или пользовать imq вместо ifb. Т.е. _исходящий_ eth2 попадает _до_ прероутинга в ifb. ладно. буду думать... Вставить ник Quote
_INF_ Posted December 5, 2011 Posted December 5, 2011 (edited) Собственно почему бы не использовать IPMARK в Вашу схему впишется идеально, и не придется ifb использовать. http://centos.alt.ru/?p=532 Edited December 5, 2011 by _INF_ Вставить ник Quote
ntil Posted December 5, 2011 Author Posted December 5, 2011 Собственно почему бы не использовать IPMARK в Вашу схему впишется идеально, и не придется ifb использовать. http://centos.alt.ru/?p=532 ай СПАСИБО ! то что нужно! Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.