Iptables/ROS做流量控制QOS的一些理解

用易-小卢

1.关于Iptables链PREROUTING和POSTROUTING：
PREROUTING在包进入防火墙之后，DNAT之前
POSTROUTING是在DNAT后，SNAT之前

2.在哪里标记，怎么标记上传和下载。
PREROUTING可以根据进入端口为内网或外网标记上传和下载，或根据源地址为本地、非本地标记上传、下载；
POSTROUTING可以根据发出端口、源地址标记上传；
FORWARD可以根据进入端口为内网或外网标记上传和下载，或根据源地址、目标地址都可以。

3.在哪里进行流量整形：3.1.使用lan和wan：
lan可根据目标地址进行下载限制，正常识别。
wan根据源地址进行上传限制，在SNAT后，源地址已改变，不能正常限制流量。
3.2.使用虚拟接口，ros使用global in和global-out，Iptables使用IMQ。
global-in在PREROUTING、DNAT后，可按目标地址限制下载
global-out在POSTROUTING后，SNAT前，可按源地址限制上传

。

4.使用TC限制特定IP下载、上传的问题：
4.1.限制上传使用MARK标记：
iptables -t mangle -I POSTROUTING -s 192.168.1.16 -j MARK --set-mark 27
4.2.限制下载使用U32标记：
tc filter add dev imq1 parent 1:0 protocol ip prio 4 u32 match ip dst 192.168.1.16 flowid 1:24