[FAQ] Ограничение скорости для клиентов на Ubuntu-Server (htb.init)

[winhex]

Подскажите плз. Создал файлы:
eth0

Код: [Выделить]

R2Q=20
DEFAULT=0

eth0-2:root

Код: [Выделить]

RATE=100Mbit
eth0-2:2001

Код: [Выделить]

RATE=128Kbit
CEIL=2Mbit
LEAF=sfq
MARK=1023
PRIO=1

eth0-2:2002

Код: [Выделить]

RATE=64Kbit
CEIL=256Kbit
LEAF=sfq
MARK=1012
PRIO=4

Маркирую пакеты так:
для компа в локалке

Код: [Выделить]

iptables -t mangle -A FORWARD -i ppp0 -d 192.168.2.23 -j MARK --set-mark 1023
iptables -t mangle -A FORWARD -i ppp0 -d 192.168.2.23 -j RETURN
собственный трафик шлюза (с него идет закачка торентов):

Код: [Выделить]

iptables -t mangle -A FORWARD -i ppp0 -d 192.168.1.2 -j MARK --set-mark 1012
iptables -t mangle -A FORWARD -i ppp0 -d 192.168.1.2 -j RETURNСоответственно, идея была в том, чтобы как минимум делить трафик между компом в локалке 192.168.2.23  и шлюзом.
Однако похоже, что это не работает. Ставлю торент на закачку и он пожирает весь трафик В чем ошибка?

tc class show dev eth0:

Код: [Выделить]

class htb 1:2002 parent 1:2 leaf 2002: prio 4 rate 64000bit ceil 256000bit burst 1600b cburst 1600b
class htb 1:2003 parent 1:2 leaf 2003: prio 1 rate 64000bit ceil 256000bit burst 1600b cburst 1600b
class htb 1:2 root rate 100000Kbit ceil 100000Kbit burst 1600b cburst 1600b
class htb 1:2001 parent 1:2 leaf 2001: prio 1 rate 128000bit ceil 2000Kbit burst 1600b cburst 1600b


[Andrey_b]

Я конечно жутко извиняюсь что возможно не в тему НО...
А почему вы не попробуете раздачу интернета такому большому кол-ву человек через специально заточенные для этого средства, к примеру Ideco Internet Control Server?

(Нажмите, чтобы показать/скрыть)

Ideco Internet Control Server – это универсальный Интернет шлюз с межсетевым экраном и функциями учета трафика. Ideco ICS позволяет быстро и легко настроить качественный доступ в Интернет всем пользователям, сделает работу с Интернет управляемой и безопасной.
Ideco ICS устанавливается на границе между локальной сетью организации и Интернетом и все взаимодействие пользователей с глобальной сетью осуществляется через Ideco ICS.

Ideco ICS позволяет контролировать и управлять доступом в Интернет пользователей и внутренних серверов, вести учет трафика и посещений, защищает компьютеры пользователей и локальную сеть от внешних, обеспечивает безопасное подключение удаленных пользователей, позволяет создавать защищенные каналы между удаленными филиалами, позволяет контролировать и ограничивать расходы на Интернет.
Возможности

Контроль доступа

* Персональный полноценный доступ в Интернет для каждого сотрудника. Авторизация по логину и паролю через VPN, PPPоE или через Ideco Agent, авторизация по IP адресу и по MAC адресу.
* Возможность синхронизации и авторизации пользователей через Active Directory и LDAP сервер.
* Контроль доступа к ресурсам Интернет, вся информация о действиях пользователя сохраняется.
* Возможность иерархической группировки пользователей идеально подходит к принятым структурным единицам: отделы, подразделения, офисы. Назначение ответственных лиц для управления этими группами.

Учет трафика

* Планирование и ограничение расходов (лимитирование) по пользователям, отделам и предприятию в целом.
* Подсчет статистики в реальном времени, автоматическое предупреждение и отключение пользователя при превышении лимита.
* Статистика посещения ресурсов Интернет в Мб и денежном эквиваленте, статистика TOP 100.
* При авторизации через VPN и PPPoE – защита от прослушивания трафика и подстановки IP-адреса.

Защита и безопасность, межсетевой экран(Firewall):

* Защита компьютеров от атак из Интернет с использованием технологий NAT и встроенного Firewall.
* Блокирование ip адресов и протоколов по заданным условиям.
* Защита от сканеров сети, защита от DOS-атак и блокирование чрезмерной активности
* Content фильтр. Возможность запрета типа скачиваемых файлов, например, mp3 и avi. Блокирование рекламы. Произвольное блокирование любых протоколов по ключевым словам.
* Разграничение доступа к корпоративным ресурсам, создание общих и закрытых серверов сети.
* Защита от подстановки IP адреса, при авторизации через VPN и PPPoE каждому пользователю назначается личный IP-адрес.
* Шейпер. Ограничение скорости Интернет-трафика для отдельных пользователей, компьютеров или протоколов.
* DNAT portmapper. Возможность прозрачной переадресации адресов и портов на другой адрес. Например, для прозрачного прокси или для публикации внутреннего веб-сервера.
* Фильтрация межсегментного локального трафика.

Удаленное подключение, виртуальные частные сети.

* Доступ сотрудников к сети предприятия из дома или командировки по защищенному каналу.
* Возможность объединить все удаленные подразделения в общую сеть на единой платформе по шифрованным протоколам VPN PPTP и CIPE.
* Возможность создать закрытые корпоративные серверы для ограниченного круга сотрудников.

Интеллектуальный QoS. Интеллектуальная приоритезация трафика по скорости и типу, резервирование полосы пропускания для важных приложений, возможность расставлять приоритеты вручную. Равномерное распределение канала между пользователями и между приложениями.

DHCP-сервер - Автоматическое распределение IP адресов в локальной сети. Возможность фиксированной привязки IP к MAC адресу компьютера. Возможность выдавать DNS и WINS для dhcp клиентов. Возможность выдавать маршруты для DHCP клиентов. Возможность указания разных диапазонов на разных интерфейсах и VLAN.

Полноценный маршрутизатор, поддерживающий множество интерфейсов (как локальных, так и внешних). Поддерживаются виртуальные 802.1q VLAN интерфейсы, PPTP, PPPoE и CIPE интерфейсы. Возможность указать маршруты по источнику.

Подключение к провайдерам, резервирование каналов

* Поддержка нескольких каналов провайдеров и нескольких внешних сетей.
* Создание разных тарифных планов. Перенаправление трафика в разные подсети.
* Возможность полного разделения пользователей для выхода в Интернет через разных провайдеров.
* Автоматическая проверка связи с провайдером и переключение на альтернативного провайдера, в случае необходимости. Возможность указать резервный тарифный план.
* Подключение к провайдеру по протоколам PPTP ( VPN ) и PPPoE

Интегрированные интернет службы

Почтовый сервер с антивирусом. Ideco ICS включает сконфигурированный и настроенный почтовый сервер. Почтовый ящик создается автоматически при добавлении пользователя.

* Поддержка нескольких почтовых доменов, доверенные сети и домены.
* Поддержка протокола IMAP, шифрованных протоколов POP3S, IMAPS и общих почтовых папок.
* Удобный, полнофункциональный веб-интерфейс для работы с личной почтой, позволяет работать с почтой из любой точки мира по шифрованному каналу через обычный браузер.
* Предварительный спам фильтр, отсекание без получения тела письма позволяет значительно экономить трафик.
* Возможность переадресации, групповой рассылки, фильтрации по адресам и содержимому.
* Установка размера почтового ящика и размер письма.
* Возможность дублирования всей почты на один адрес, для контроля и архивирования корреспонденции.
* Возможность загружать почту с других серверов по протоколу POP3 и IMAP.

Многосайтовый Internet веб-сервер. Ideco ICS включает в себя полноценный WEB-сервер. Сервер позволяет размещать внешний сайт организации или несколько различных сайтов. Поддерживается возможность создания динамических сайтов на PHP и Perl, а также поддержка БД MySQL. Готовые примеры CMS Joomla с шаблонами сайтов, форум phpbb.

FTP-сервер. Ideco ICS включает в себя полноценный FTP-сервер. На этом сервере можно хранить общие документы и прочие файлы. Доступ к серверу может осуществляться как снаружи, так и из локальной сети. Анонимный и авторизованный вход. Создание ftp пользователей. Закрытая и публичная часть. Защита от переполнения диска. Возможность ограничения скорости скачивания.

Сервер точного времени. Ideco ICS включает в себя сервер точного времени, который может синхронизировать время через Интернет. Кроме того, есть возможность синхронизировать время компьютеров локальной сети с самим сервером.

DNS-сервер. Ideco ICS включает в себя кэширующий DNS сервер и BIND для локальной сети. Есть возможность указывать соответствие между доменным именем компьютера и его сетевым адресом.
Преимущества

Надежность и безопасность.

* Ideco ICS построен на базе ядра Linux с применением уникальных технологий. Поэтому имеет беспрецедентную надежность и защищенность, сравнимую с аппаратными маршрутизаторами.
* Многоуровневая системы защиты сервера.
* Встроенный модуль отказоустойчивости восстановит систему даже в случае сбоя.

Простота установки, настройки и сопровождения

* Не требует изменения существующей сети предприятия – достаточно установки одного сервера.
* Ideco ICS автоматически устанавливается на компьютер. Для работы Ideco ICS не требуется дополнительного программного обеспечения – все необходимое есть на диске.
* Не требует постоянного сопровождения – эксплуатационные расходы близки к нулю
* Удобный и понятный интерфейс администратора: управление пользователями, тарифными планами, установка ограничений, настройка Firewall. Управление системой возможно не только системным администратором, но и простым пользователем.
* Веб-интерфейс пользователя: просмотр статистики, баланса, смена пароля и другой информации.
* Встроенный DHCP сервер максимально упрощает развертывание на малых и средних предприятиях.
* Не требует установки нестандартного ПО на компьютеры пользователей.
* Прозрачность для всех сетевых протоколов: HTTP, SMTP, POP3, FTP и других.

Помоему так както лучше удобнее ну и нормальнее сделать чем разведение простите гемороя себе. Если и не эта софтина, то есть же аналоги подобные ей...

[Гарри Кашпировский]

Совершенно не в тему, более того, я считаю процитированное под спойлером рекламой. Причём не самой удачной  

(Нажмите, чтобы показать/скрыть)

Для

раздачи интернета такому большому кол-ву человек

используются

специально заточенные для этого средства

такие например как Cisco, Alcatel или Juniper

[MaratSh]

Угу.
Ideco ICS 3.3 Standard Edition - Unlimited всего-то 178900 рублей!

[Nesmit]

Помоему так както лучше удобнее ну и нормальнее сделать чем разведение простите гемороя себе. Если и не эта софтина, то есть же аналоги подобные ей...

А если я могу все выше перечисленное поднять часика за 3-4 на чистой машине? Ну кроме лицензии конечно.
А так,  с большим удовольствием сэкономил 180тыс деревянных. Зато есть ну просто афегительный плюс, я могу сделать то же самое практически с закрытыми глазами. А вот Вы, сможете потом сами решить проблемы без звонков в поддержку? Нет! Т.к. эта система жутко закрыта от вмешательства. (я с ней как то игрался. Начало мешать ограничение на 100 пользователей, + там неадекватные глюки в тарифах и ко всему прочему нашел новую работу )
Так что, геморроя тут не вижу, а вот способность напрячь мозги и разобраться.

[xeon_greg]

Подскажите плз. Создал файлы:
eth0

Код: [Выделить]

R2Q=20
DEFAULT=0

eth0-2:root

Код: [Выделить]

RATE=100Mbit
eth0-2:2001

Код: [Выделить]

RATE=128Kbit
CEIL=2Mbit
LEAF=sfq
MARK=1023
PRIO=1

eth0-2:2002

Код: [Выделить]

RATE=64Kbit
CEIL=256Kbit
LEAF=sfq
MARK=1012
PRIO=4

Маркирую пакеты так:
для компа в локалке

Код: [Выделить]

iptables -t mangle -A FORWARD -i ppp0 -d 192.168.2.23 -j MARK --set-mark 1023
iptables -t mangle -A FORWARD -i ppp0 -d 192.168.2.23 -j RETURN
собственный трафик шлюза (с него идет закачка торентов):

Код: [Выделить]

iptables -t mangle -A FORWARD -i ppp0 -d 192.168.1.2 -j MARK --set-mark 1012
iptables -t mangle -A FORWARD -i ppp0 -d 192.168.1.2 -j RETURNСоответственно, идея была в том, чтобы как минимум делить трафик между компом в локалке 192.168.2.23  и шлюзом.
Однако похоже, что это не работает. Ставлю торент на закачку и он пожирает весь трафик В чем ошибка?

tc class show dev eth0:

Код: [Выделить]

class htb 1:2002 parent 1:2 leaf 2002: prio 4 rate 64000bit ceil 256000bit burst 1600b cburst 1600b
class htb 1:2003 parent 1:2 leaf 2003: prio 1 rate 64000bit ceil 256000bit burst 1600b cburst 1600b
class htb 1:2 root rate 100000Kbit ceil 100000Kbit burst 1600b cburst 1600b
class htb 1:2001 parent 1:2 leaf 2001: prio 1 rate 128000bit ceil 2000Kbit burst 1600b cburst 1600b


как я понимаю и нтерфейса на шлюзе 2 !?
ppp0 -  скорее всего ADSL
и скорее всего существует какой-нить eth0 или ethx который смотрит в локалюную сеть, на клиента(ов)
вопрос первый. где стоит торрент пожирающий трафик? на сервере!
и сразу же дополнение таким способом (htb) резать трафик можно только  для клиентов но никак не для сервера. вы не поняли главного в управлении трафиком, а это ограничивать можно только исходящий трафик на исходящем интерфейсе(eth0) те только на клиентов. и если вы ставите торрент на сервере естественно он у вас сожрет весь канал и не посмотрит на ваши маркировки пакетов. и потом маркировать пакеты в mangle FORWARD - это только для транзитного трафика те опять же только для клиентов. если же необходимо поставить марку для самого сервера (приложения на сервере ) то маркировать надо в mangle PREROUTING.
те  при таком раскладе рулить трафиком закачки для сервера не получится никак, разве что установка IMQ но это уже будет просто дропание лишнего трафика но никак не нормальное деление

[winhex]

те  при таком раскладе рулить трафиком закачки для сервера не получится никак, разве что установка IMQ но это уже будет просто дропание лишнего трафика но никак не нормальное деление

Собрал ядро и iptables с патчами IMQ - думаю, теперь должно все получится.

[Nesmit]

ifb0 чем плох? заводится 2мя командами.

[winhex]

ifb0 чем плох? заводится 2мя командами.

По отзывам - проблема с NAT'ом и если нужно шейпить собственный трафик шлюза, сделать это не получается. А мне нужно и то и другое.

[Nesmit]

Странно, его как раз для этого используют. Нужно будет уточнить.

[winhex]

Странно, его как раз для этого используют. Нужно будет уточнить.

на imq можно перенаправлять трафик из iptables (из любой цепочки mangle), а на ifb так нельзя - можно только отправлять через ip(утилита из iproute2), после того как трафик пришел на интерфейс. Соответственно это перенаправление работает до NAT и определить кому принадлежит приходящий трафик очень сложно.

[Sliver]

2 winhex, если возникли проблемы с htb, то попробуйте cbq. Вот статья по настройке шейпера с cbq.init в которой описано, как ограничить трафик в двух направлениях (без дополнительных настроек в iptables). А на счет "проблема с NAT'ом и если нужно шейпить собственный трафик шлюза", то собственный трафик всегда шел через интерфейс "lo". Думаю понятно, что Вам необходимо создать аналогичные файлы для htb.init с названиями lo, lo-1:root, lo-1.your_class и т.д., если стоит задача ограничить локальный траф шлюза.

[Nesmit]

схемка как работает imq

(Нажмите, чтобы показать/скрыть)

источник http://www.abclinuxu.cz/clanky/site/traffic-shaping-2-imq-a-uvod-do-shapingu
Только хочется как правильно.

[TrEK]

Вот еще наткнулся на неплохую статейку...
Если нужна возможность разделения и ограничения сетевого трафика от интернет-траффика + приоритет отдать нужному трафику и нужным портам... возможно это уже в данной теме обсуждалось, но лишним, думаю, точно не будет..

http://sudouser.com/nastrojka-ogranicheniya-i-raspredeleniya-kanala-htb-shaper.html
Пользователь решил продолжить мысль [time]Thu Nov  4 12:52:53 2010[/time]:Еще один интересный момент -  !!! http://sehier.fr/webmin-htb/ !!!
Пользователь решил продолжить мысль [time]Thu Nov  4 16:50:48 2010[/time]:Теперь вижу что было уже и то , и то... но пускай будет для полной уверенности.

[tokezo]

есть классная штука для шейпинга входящего/исходящего трафика - htb-gen.Для запуска требуеться отредактировать 2 конф файла, все остальное программа сделает сама.