LINUX.ORG.RU
ФорумAdmin

squid + iptables + htb shaper

 


1

1

Всем привет! Имеем шлюзак с билингом: centos 6,4 / iptables / htb eth0 - мир (к примеру 195.5.5.5) eth1 - локалка 10.0.0.1 так же Имеем маршрутизатор: mikrotik 10.0.0.2 - в сторону сервера и несколько сетей на портах 172.16.11.0/24 и т д

Правила на выход в инет: $IPT -t filter -I FORWARD -s $IP -j ACCEPT $IPT -t filter -I FORWARD -d $IP -j ACCEPT

потом марк для шейпера $IPT -t mangle -I FORWARD -d $IP -j MARK --set-mark $mark $IPT -t mangle -I FORWARD -s $IP -j MARK --set-mark $mark1

и собственно шейпер $tc class add dev $IFDOWN parent 1:1 classid 1:$mark htb rate $SPEED$SCOUNT $tc filter add dev $IFDOWN parent 1: protocol ip prio 3 handle $mark fw classid 1:$mark

и на аплоад

$tc class add dev $IFUP parent 1:1 classid 1:$mark1 htb rate $UPSPEED$SCOUNT $tc filter add dev $IFUP parent 1: protocol ip prio 3 handle $mark1 fw classid 1:$mark1

Стала задача немного сыкономить внешнего канал, подумал о прозрачном прокси.

поднял squid срулил а него подсети = получил не рабочие шейпера.

вариант 1: сделал днат с микротика 80->3128 на 195.5.5.5 вариант 2: тоже только на 10.0.0.1 вариант 3: на сервере $IPT -t nat -I PREROUTING -i eth1 -s $IP -p tcp -d ! 10.0.0.1 --dport 80 -j REDIRECT --to-port 3128

все из вариантов обходят шейпер.

Подскажите реально ли вообще это реализовать на одном сервере???

Ответ на: комментарий от sin_a

и причет тут настройка squid? мне не нужно резать пулами сквида, меня интересует работа шейпера паралельно с прокси

neiron ()
Ответ на: комментарий от neiron

Если твои пользователи идут через сквид, то для твоего tc они все на одно лицо. Как он узнает, кто из сквидовых пакетов вася а кто петя? Это задача сквида.

sin_a ★★★★★ ()
Ответ на: комментарий от sin_a

ну они же идут со своего ip адреса из подсетей 172.16. и на микротике они не натятся (по варианту 3). почему он их не может промаркеровать для шейпера?

neiron ()
Ответ на: комментарий от neiron

После сквида они идут с адреса сквида. Он их берёт, и дальше отправляет пакеты от своего имени. Трафик клиентов ты при этом можешь просто убить, если сквид им будет доступен то они получат свой 80 порт наружу.

sin_a ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.