Dotaz: HTB - chyba ve skriptu ?!1

[martinecek]

Zdravim do fora!

prikladam zde skript, ktery mi vsak nefunguje, tak jak by mel. Potrebuji rozdelovat Internetovou konektivitu (upload, download). Linka ma prospustnost cca 4000Kbit/550kbit (davam rezervu cca 10 procent pro spravny chod). Po spusteni tohoto skriptu se rychlost jednotlivych PC v siti omezi na 500Kbit download, takze nefunguje hodnota ceil (3500Kbit) a upload se chova, jako by pravidla vubec nebyla stanovena.

Ten skript jsem umistil tady. Bohuzel kdyz jsem ho vlozil do diskuze natvrdo, radky se rozhodily :( Dekuji za pripominky, rady, alternativni reseni a pod.

Odpovědi

[martinecek]

Tak jsem skript poupravil, ted je dle meho nazoru v poradku, nicmene vysledny efekt zadny, tudiz predpokladam, ze neni v poradku markovani pomoci IPTABLES nebo mam spatne nadefinovane tridy. Podiva se na tento skript nekdo blize a odpovi prosim? Dekuji

[batt]

ahoj.jestli chceš tak mužu poslat funkční skript na htp kde jse orezava up/dou

[tomfi]

Poradím nepřímo. Zkus si vyjet kolikrát byly ty pravidla v iptables použita ...

příkaz: iptables -v -t mangle -L -n

A teď přímo ...

Koukni se na zadani v mangle 
         -s ... znamená source 
         -d ... znamená destination

Já osobně používám v preroutingu markování odchozích paketů a v postroutingu příchozích... příjde mi logictejší omarkovat pakety jdoucí z lan před natem a pakety jdoucí z internetu až po provedení natu.

[martinecek]

Dekuji za vsechny reakce. Tak jsem skript poupravil viz odkaz:

skript na htb

zatim opet nefunguje, potreboval bych nejspise nakopnout primo konkretneji. Nejsem si jeste jisty v jedne veci, jestli mohu HTB aplikovat i na prichozi traffic (download), nebo je potreba pouzit IMQ. Dekuji

[Martin]

Vypadáto, že máš bordel v markování:

# Oznaceni paketu dle cilove IP adresy

$IPTABLES -t mangle -A PREROUTING -i $INET_IFACE -d $USER1 -j MARK --set-mark 1

# Oznaceni paketu dle cilove IP adresy

$IPTABLES -t mangle -A POSTROUTING -o $LAN_IFACE -s $USER1 -j MARK --set-mark 11

PREROUTING na straně internetu ještě neví jaká je cílová vnitřní adresa a naopak POSTROUTING na strane vnitřního rozhraní je trafik směřující do vnitřní sítě, tj. ne source "-s", ale destination "-d". Bez obav to můžeš celé přepdělat na FORWARD, takže se ti budou markovat jen routované pakety:

# Oznaceni paketu dle cilove IP adresy

$IPTABLES -t mangle -A FORWARD -o $LAN_IFACE -d $USER1 -j MARK --set-mark 1

# Oznaceni paketu dle cilove IP adresy

$IPTABLES -t mangle -A FORWARD -o $INET_IFACE -s $USER1 -j MARK --set-mark 11

[martinecek]

tady jeste prikladam vypis iptables -v -t mangle -L -n

Chain PREROUTING (policy ACCEPT 13M packets, 9209M bytes)
pkts bytes target prot opt in out source destination
0 0 MARK 0 -- eth0 * 0.0.0.0/0 172.16.128.1 MARK set 0x1
0 0 MARK 0 -- eth0 * 0.0.0.0/0 172.16.128.2 MARK set 0x2
0 0 MARK 0 -- eth0 * 0.0.0.0/0 172.16.128.3 MARK set 0x3
0 0 MARK 0 -- eth0 * 0.0.0.0/0 172.16.128.4 MARK set 0x4
0 0 MARK 0 -- eth0 * 0.0.0.0/0 172.16.128.5 MARK set 0x5
0 0 MARK 0 -- eth0 * 0.0.0.0/0 172.16.128.22 MARK set 0x6

Chain INPUT (policy ACCEPT 326K packets, 47M bytes)
pkts bytes target prot opt in out source destination

Chain FORWARD (policy ACCEPT 13M packets, 9162M bytes)
pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 125K packets, 42M bytes)
pkts bytes target prot opt in out source destination

Chain POSTROUTING (policy ACCEPT 13M packets, 9204M bytes)
pkts bytes target prot opt in out source destination
0 0 MARK 0 -- * eth1 172.16.128.1 0.0.0.0/0 MARK set 0xb
0 0 MARK 0 -- * eth1 172.16.128.2 0.0.0.0/0 MARK set 0xc
0 0 MARK 0 -- * eth1 172.16.128.3 0.0.0.0/0 MARK set 0xd
0 0 MARK 0 -- * eth1 172.16.128.4 0.0.0.0/0 MARK set 0xe
0 0 MARK 0 -- * eth1 172.16.128.5 0.0.0.0/0 MARK set 0xf
0 0 MARK 0 -- * eth1 172.16.128.22 0.0.0.0/0 MARK set 0x10