Vlákno názorů k článku HTB - FAQ od Honza - Muzete nekdo hodit maly priklad jak to resit...

Muzete nekdo hodit maly priklad jak to resit s NATem?
Dik Honza

pomoci tohoto to resim ja

#!/bin/sh

# **************************** Definice parametru ****************************
TC=/sbin/tc
IPTABLES=/usr/sbin/iptables

INET_IFACE=eth0
LAN_IFACE=eth1

INET_SPEED_UPLOAD=256Kbit
INET_SPEED_DOWNLOAD=256Kbit

GARANCE1=32Kbit
GARANCE2=64Kbit
GARANCE3=128Kbit
GARANCE4=256Kbit

MAXIMUM1=64Kbit
MAXIMUM2=128Kbit
MAXIMUM3=256Kbit
MAXIMUM4=512Kbit

BURST=64k

USER_01=192.168.1.55 #Uzivatel 1
USER_02=192.168.1.62 #Uzivatel 2
# **************************** Definice parametru ****************************

#
############################### DOWNLOAD ############################
#
# Smazani vsech qdiscu na LAN interfacu

$TC qdisc del dev $LAN_IFACE root >/dev/null

# Pridani ROOT tridy na LAN interface

$TC qdisc add dev $LAN_IFACE root handle 1:0 htb default 20

#Nastaveni rychlosti tridy dle rychlosti pripojeno do internetu

$TC class add dev $LAN_IFACE parent 1:0 classid 1:1 htb rate $INET_SPEED_DOWNLOAD burst $BURST

#Nastaveni rychlosti trid na LAN rozhrani

$TC class add dev $LAN_IFACE parent 1:1 classid 1:11 htb rate $GARANCE1 ceil $MAXIMUM2 burst $BURST #Klient 1
$TC class add dev $LAN_IFACE parent 1:1 classid 1:12 htb rate $GARANCE1 ceil $MAXIMUM2 burst $BURST #Klient 2

# ******************** Markovani paketu **************************************

# Oznaceni paketu dle cilove IP adresy

$IPTABLES -t mangle -A POSTROUTING -o $LAN_IFACE -d $USER_01 -j MARK --set-mark 1
$IPTABLES -t mangle -A POSTROUTING -o $LAN_IFACE -d $USER_02 -j MARK --set-mark 2

# Trizeni paketu do pridelenych trid

$TC filter add dev $LAN_IFACE parent 1:0 protocol ip handle 1 fw flowid 1:11
$TC filter add dev $LAN_IFACE parent 1:0 protocol ip handle 2 fw flowid 1:12

#
############################### UPLOAD ############################
#

# Smazani vsech qdiscu na INET interfacu

$TC qdisc del dev $INET_IFACE root >/dev/null

# Pridani ROOT tridy na LAN interface

$TC qdisc add dev $INET_IFACE root handle 1:0 htb default 20

#Nastaveni rychlosti tridy dle rychlosti pripojeno do internetu

$TC class add dev $INET_IFACE parent 1:0 classid 1:1 htb rate $INET_SPEED_UPLOAD burst $BURST

#Nastaveni rychlosti trid na INET rozhrani

$TC class add dev $INET_IFACE parent 1:1 classid 1:11 htb rate $GARANCE1 ceil $MAXIMUM1 burst $BURST #Klient 1
$TC class add dev $INET_IFACE parent 1:1 classid 1:12 htb rate $GARANCE1 ceil $MAXIMUM3 burst $BURST #Klient 2



#******************** Markovani paketu **************************************

# Oznaceni paketu dle cilove IP adresy

$IPTABLES -t mangle -A PREROUTING -i $LAN_IFACE -s $USER_01 -j MARK --set-mark 31
$IPTABLES -t mangle -A PREROUTING -i $LAN_IFACE -s $USER_02 -j MARK --set-mark 32

# Trizeni paketu do pridelenych trid

$TC filter add dev $INET_IFACE parent 1:0 protocol ip handle 31 fw flowid 1:11
$TC filter add dev $INET_IFACE parent 1:0 protocol ip handle 32 fw flowid 1:12

Dotazka, jake vyhody ma markovani v chainu PREROUTING oproti FORWARDU?

Že ty pakety omarkujete ještě dříve, než je dostane router. Takže pak můžete značky použít mimo jiné jako kritérium pro policy routing.

hehe odkad ten script mas ? Tohle jsem narychlo psal asi pred 1,5 rokem :), ale chodi to celkem dobre u jolegy na tom fici 40 useru na ADSLku

velmi pekny priklad, az na to ze to upload vubec nefunguje, alespon me, nevim jak komu

caves mohol by si sem hodit ake mas nastavenie samotneho firewallu ?

Mozna by to slo resit malou klickou.
-na eth0 (sitovka vedouci do Inetu) vytvorit alias eth0:1, dat mu adresu lokalni adresu a na nem shapovat, zatimco NAT pobezi dale na eth0.

berte toto ale spis jako otazku :)
Lama

Shapovat sa da len na realnych interfaces, takze ziadne eth0:1 nehrozi ....

a da se shapovat na bridgovanem rozhrani? kdyz mam eth0 + eth1 = br0, muzu shapovat na br0 nebo musim na eth0 a eth1 zvlast?

Br0 je realny interface, takze sa da na nom shapovat.

Spíše bych to řekl takto: žádné virtuální rozhraní eth0:1 už dávno neexistuje, je to jen iluze, která se udržuje jen proto, že spousta lidí dodnes používá ifconfig.

...a mohu se zeptat jak se to tedy dela "dnes"?

Je mozne shapovat na stroji, kde bezi NAT HTBckem prichozi i odchozi provoz, pri rozdelovani do jednotlivych trid nejen podle IP adres, ale i podle MAC adres?
Mate nekdo priklad? Dik Pepe

Lze to, viz markování pomocí ebtables, ale tobě asi jde spíš o to, aby každý klient s přidělenou IP byl ten s tou správnou MAC, a to lze elegantně udělat ve Shorewall maclist, eventuelně ručně.

Dik za tip.
Neznam Shorewall. Je mozne neco nakonfigurovat tak, ze v pripade, ze MAC a IP nesedi, bude tento traffic smerovan na nejakou lokalni www stranku, popr. oriznuty na hodne malou rychlost (2kbit)?

Zajimalo by me zda ten NAT obejit timto:

eth0 - internet
eth1 - LAN

masquerade se provadi az tesne pred odeslanim na eth0 tak proc nepovesit qdiscy na eth1? tam uz prece maj vsechny pakety jak prichozi tak odchozi adresu z LAN ne?

kdyz uz pisu, jak zmerit nebo kontrolovat rychlost? presneji receno nejaky softik, ktery by mi ukazoval jakou aktualni rychlosti stahuje to ktere PC podle IP adres

Doporucuji netwatch. Nevim, z jakeho duvodu, ale na Cyrix 166MHz se mi tuhnul. V kazdem pripade i tak je to extreme nabuseny program. Ja ted shanim nejaky bandwidth manager, ktery by prubezne blil nejake tabulky a z nich delal grafy jednotlivych ip.