HTB - pewne niescislosci

[yoda6886]

w HTB jestem akurat Newbie. mimo przeczytania kilku artykolow niestety... w kazdym jest to ujete troszke inaczej. wiec tak:
moja sytuacja: INET -------- (eth0) SERV (eth1) --------- LAN
w lanie sa 2 kompy (192.168.2.10 i 192.168.2.9).
moj skrypt htb (porazajaca wielkosc:P) wyglada tak:

Kod: Zaznacz cały

#!/bin/bash

# HTB script

lan_max="10mbit"
lan_user="5mbit"
inet_max="256kbit"
inet_user="128kbit"

tc qdisc del root dev eth1
tc qdisc add dev eth1 root handle 1:0 htb

# glowna kolejka na interface
tc class add dev eth1 parent 1:0 classid 1:1 htb rate $lan_max ceil $lan_max

# kolejka na polaczenia do internetu
tc class add dev eth1 parent 1:1 classid 1:2 htb rate $inet_max ceil $inet_max

# kolejka na polaczenia do serwera (lan)
tc class add dev eth1 parent 1:1 classid 1:3 htb rate $lan_max ceil $lan_max

# ustawienia dla usera laczacego sie z inetem
tc class add dev eth1 parent 1:2 classid 1:4 htb rate $inet_user ceil $inet_max burst 10k
tc class add dev eth1 parent 1:2 classid 1:5 htb rate $inet_user ceil $inet_max burst 10k

# ustawienia dla usera laczacego sie z serwerem (lan)
tc filter add dev eth1 protocol ip prio 2 parent 1:0 u32 match ip src 192.168.2.1 flowid 1:3

# ustawienia dla userow laczacych sie z inetem
tc filter add dev eth1 protocol ip prio 1 parent 1:0 u32 match ip dst 192.168.2.10 flowid 1:4
tc filter add dev eth1 protocol ip prio 1 parent 1:0 u32 match ip dst 192.168.2.9 flowid 1:5

# sfq
tc qdisc add dev eth1 parent 1:4 handle 2:0 sfq perturb 10
tc qdisc add dev eth1 parent 1:3 handle 3:0 sfq perturb 10
tc qdisc add dev eth1 parent 1:5 handle 4:0 sfq perturb 10

echo "HTB on eth1 started..."

1. czy musze oznaczac pakiety przy pomocy iptables zeby trafialy do odpowiedniej kolejki?
2. mam tutaj to prio 1 i 2. chcialem zeby najpierw byly obslugiwane polaczenia wychodzace do internetu a potem polaczenia przeznaczone do ftp, www czy ssh (uslugi postawione na serwerze). czy zrobilem to poprawnie.

chcialem zaznaczyc ze bardziej bawie sie htb niz robie to profesjonalnie. wszelkie dopowiedzenia i wyjasnienia bardzo mile widziane:)

Pozdrawiam

[snaj]

Wejdz na strone htb i poczytaj faq oraz user manual.
Potem wejdz na liste mailingowa lartc i poczytaj o zaleznosciach miedzy ceilami i rateami ojcow i potomkow.
Ten skrypt z zalozenia ma kroic tylko download, natomiast podstawa i tak jest upload.
Wejdz na google i wklep : adsl howto bandwidth

Brakuje ci podstaw teoretycznych do tych zabaw.

[yoda6886]

dzieki Snaj. widze juz ze powinienem raczej operowac na eth0. ale jesli chodzi o moje pytanie nr 1 to czy moglby ktos podac jednoznaczna odpowiedz?

[snaj]

Nie poniewaz w filtrach operujesz na ipkach wiec to wystarczy w tym przypadku.

Operujac na eth0 ograniczysz upload.

[yoda6886]

jedna jeszcze watpliwosc: dlaczego autor tego faq http://forum.slackware.pl/viewtopic.php?t=3171 ogranicza (w uploadzie) dport i sport? jesli mozemy ograniczyc tylko ruch wychodzacy z danego urzadzenia to chyba interesuja nas tylko sport. tzn ograniczamy wyjscie do internetu po porcie zrodlowym.

[snaj]

Dokladnie na odwrot, przy uploadzie interesuje nas port docelowy (serwerowy) a nie zrodlowy (kliencki).
Uzywa tam xilu sport poniewaz chodzi o uslugi odpalone na serwerze zeby byly szybkie.

[yoda6886]

ok rozumiem. czylizeby ograniczyc np usluge ssh musialbym zrobic tak:

Kod: Zaznacz cały

tc qdisc del root dev eth0
tc qdisc add dev eth0 root handle 1:0 htb default 3

tc class add dev eth0 parent 1:0 classid 1:1 rate 256kbit ceil 256kbit

tc class add dev eth0 parent 1:1 classid 1:2 rate 100kbit ceil 150kbit
tc class add dev eth0 parent 1:2 classid 1:3 rate 150kbit ceil 250kbit

tc filter add dev eth0 protocol ip parent 1:0 u32 match dport 22 0xffff flowid 1:2

tak?

[snaj]

Tak w ten sposob ograniczysz predkosci polaczen an zewn serwery ssh.

PS. Tam zapomniales 'ip' po match.

[yoda6886]

tak. czujna uwaga:) dziekuje bardzo.

[yoda6886]

jedna jeszcze rzecz. dlaczego w uploadzie ograniczamy uslugi, a nie ip z ktorego wysylane sa paczki. nie da sie tego jakos zrobic? np w tej ostatniej regulce zmienic

Kod: Zaznacz cały

tc filter add dev eth0 protocol ip parent 1:0 u32 match ip dport 22 0xffff flowid 1:2

na:

Kod: Zaznacz cały

tc filter add dev eth0 protocol ip parent 1:0 u32 match ip src 192.168.2.10 flowid 1:2

tylko w koncu juz nie wiem czy powinno byc src czy dst... ale chyba src. sorki za to glupie przemyslenie jesli jest w 100% bledne.

Pozdrawiam.

[snaj]

Czytaj, czytaj, czytaj !
Zakladasz kolejki na eth, wiec jak paczka tam dotrze bedzie juz po snat/maskaradzie a wiec src ip bedzie nie wewn..