6-match（u32分类器fw分类器）

最新推荐文章于 2023-02-11 11:59:20 发布
原创 最新推荐文章于 2023-02-11 11:59:20 发布 · 1.1k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

Linux流量控制—过滤规则/U32–实例解析:
http://blog.sina.com.cn/s/blog_a481de5701015npe.html
https://www.cnblogs.com/CasonChan/p/5033949.html

linux2.6.35内核qos源码分析之fw分类器 - 豆丁网:
https://max.book118.com/html/2017/0418/100980173.shtm

  • 源地址段：match ip src 1.2.3.0/24
  • 目的地址段：match ip dst 4.3.2.0/24
  • 单个IP地址：match ip 1.2.3.4/32
  • 源端口80：match ip sport 80 0xffff，其中0xffff表示所有数据包
  • 目的端口80：match ip dport 80 0xffff
  • 根据IP协议 (tcp, udp, icmp, gre, ipsec)

image

icmp是1:match ip protocol 1 0xff，其中 1是根据/etc/protocols协议号来设定

root@zihome:/# cat /etc/protocols
# Internet (IP) protocols
#
# Updated from http://www.iana.org/assignments/protocol-numbers and other
# sources.
# New protocols will be added on request if they have been officially
# assigned by IANA and are not historical.
# If you need a huge list of used numbers please install the nmap package.

ip      0       IP              # internet protocol, pseudo protocol number
#hopopt 0       HOPOPT          # IPv6 Hop-by-Hop Option [RFC1883]
icmp    1       ICMP            # internet control message protocol
igmp    2       IGMP            # Internet Group Management
ggp     3       GGP             # gateway-gateway protocol
ipencap 4       IP-ENCAP        # IP encapsulated in IP (officially ``IP'')
st      5       ST              # ST datagram mode
tcp     6       TCP             # transmission control protocol
egp     8       EGP             # exterior gateway protocol
igp     9       IGP             # any private interior gateway (Cisco)
pup     12      PUP             # PARC universal packet protocol
udp     17      UDP             # user datagram protocol
hmp     20      HMP             # host monitoring protocol
xns-idp 22      XNS-IDP         # Xerox NS IDP
rdp     27      RDP             # "reliable datagram" protocol
iso-tp4 29      ISO-TP4         # ISO Transport Protocol class 4 [RFC905]
xtp     36      XTP             # Xpress Transfer Protocol
ddp     37      DDP             # Datagram Delivery Protocol
idpr-cmtp 38    IDPR-CMTP       # IDPR Control Message Transport
ipv6    41      IPv6            # Internet Protocol, version 6
ipv6-route 43   IPv6-Route      # Routing Header for IPv6
ipv6-frag 44    IPv6-Frag       # Fragment Header for IPv6
idrp    45      IDRP            # Inter-Domain Routing Protocol
rsvp    46      RSVP            # Reservation Protocol
gre     47      GRE             # General Routing Encapsulation
esp     50      IPSEC-ESP       # Encap Security Payload [RFC2046]
ah      51      IPSEC-AH        # Authentication Header [RFC2402]
skip    57      SKIP            # SKIP
ipv6-icmp 58    IPv6-ICMP       # ICMP for IPv6
ipv6-nonxt 59   IPv6-NoNxt      # No Next Header for IPv6
ipv6-opts 60    IPv6-Opts       # Destination Options for IPv6
rspf    73      RSPF CPHB       # Radio Shortest Path First (officially CPHB)
vmtp    81      VMTP            # Versatile Message Transport
eigrp   88      EIGRP           # Enhanced Interior Routing Protocol (Cisco)
ospf    89      OSPFIGP         # Open Shortest Path First IGP
ax.25   93      AX.25           # AX.25 frames
ipip    94      IPIP            # IP-within-IP Encapsulation Protocol
etherip 97      ETHERIP         # Ethernet-within-IP Encapsulation [RFC3378]
encap   98      ENCAP           # Yet Another IP encapsulation [RFC1241]
#       99                      # any private encryption scheme
pim     103     PIM             # Protocol Independent Multicast
ipcomp  108     IPCOMP          # IP Payload Compression Protocol
vrrp    112     VRRP            # Virtual Router Redundancy Protocol
l2tp    115     L2TP            # Layer Two Tunneling Protocol [RFC2661]
isis    124     ISIS            # IS-IS over IPv4
sctp    132     SCTP            # Stream Control Transmission Protocol
fc      133     FC              # Fibre Channel

根据fwmark

iptables -A PREROUTING -t mangle -i eth0 -j MARK --set-mark 6
tc filter add dev eth1 protocol ip parent 1:0 prio 1 handle 6 fw flowid 1:1

注:handle根据过滤器的不同,含义也不同

https://www.cnblogs.com/CasonChan/p/5033947.html

Example that matches ARP (a big “thank you” to Martin Brown for this!):
dst MAC is 6 bytes at -14
src MAC is 6 bytes at -8
the ARP protocol is 2 bytes at -2
the “0806” comes from linux/include/linux/if_ether.h

tc filter add dev $DEV parent 1: protocol ip prio 5 u32 match u16 0x0806 0xffff at -2 flowid 1:50

TC命令流量控制测试(针对具体IP地址和IP协议)
weixin_30569001的博客
03-14 767
　　　这里测试系统为Linux操作系统,通过简单的TC命令来实现对带宽的控制. 1对具体IP地址的流量控制 这里采用iperf来进行带宽的测试,首先在服务器和客户端都安装上iperf软件,通过该软件下的命令来进行通讯和测试. 1.1测试正常情况下的带宽 1)服务器设置端口: [root@docker117 ~]# iperf -s -p 7000 #设置端口为7000,端口...
关于iptables的u32匹配
互联网
07-06 960
前面一篇文章----阐释了iptables最新的bpf match，说它将多个matches并成了一个经过编译的解释型bytecode bpf match，早在bpf match之前，u32 match也可以做到matches合并，虽然语法让人费解没有分离match可读性强之外，效率还真是高！它可以做到无状态检测的很多事情，不能做到有状态检测比如基于conntrack的检测是因为IP协议本身就是无...
The u32 classifier
weixin_30633949的博客
12-09 179
Theu32classifier The U32 filter is the most advanced filter available in the current implementation. It entirely based on hashing tables, which make it robust when there are many filter rules. In ...
linux tc 每ip,linux 使用TC实现单IP 限速
weixin_30424461的博客
05-04 490
#!/bin/bashLIFIN="eth0"LIFOUT="eth1"snmpwalk -v 2c -c public 192.168.1.252IP-MIB::ipNetToMediaPhysAddress >/root/awk-s/ip-macawk -f /root/awk-s/ip.awk /root/awk-s/ip-mac >/root/awk-s/ipsleep 2tc...
java读取u32_关于iptables的u32匹配
weixin_35692916的博客
02-27 347
前面一篇文章----阐释了iptables最新的bpf match，说它将多个matches并成了一个经过编译的解释型bytecode bpf match，早在bpf match之前，u32 match也可以做到matches合并，虽然语法让人费解没有分离match可读性强之外，效率还真是高！它可以做到无状态检测的很多事情，不能做到有状态检测比如基于conntrack的检测是因为IP协议本身就是无...
tc通过u32匹配数据包头匹配arp mpls tcp udp等数据
qq_24516771的博客
01-02 3648
tc filter、u32 、mpls
分类器和过滤器的区别
最新发布
11-13
- 分类器通常通过指定类型（如`u32`、`bpf`、`fw`等）来配置，然后在分类器上附加过滤器。 - 过滤器则通过`tc filter add`命令添加，并指定匹配条件和动作（action）。 ### 示例配置： 以下是一个简单的配置示例...
为实现基于tc命令和ifb虚拟网卡的下行限速，通过ebtables表为特定设备标记，而后设计如下命令，ifconfig ifb1 up tc qdisc add dev ifb1 root handle 2: htb default 3 ebtables -N CSL_MARK_OUTPUT ebtables -A OUTPUT -j CSL_MARK_OUTPUT ebtables -A CSL_MARK_OUTPUT -d 10:B6:76:57:7B:A1 -j mark --set-mark 0x8002 ebtables -A CSL_MARK_OUTPUT -d 10:B6:76:57:7B:A1 -j RETURN ebtables -A CSL_MARK_OUTPUT -d A6:2A:D4:FE:88:21 -j mark --set-mark 0x8002 ebtables -A CSL_MARK_OUTPUT -d A6:2A:D4:FE:88:21 -j RETURN ebtables -A CSL_MARK_OUTPUT -d 20:7B:D2:42:D9:03 -j mark --set-mark 0x8002 ebtables -A CSL_MARK_OUTPUT -d 20:7B:D2:42:D9:03 -j RETURN --- tc qdisc add dev ae_wan root handle 10: prio tc filter add dev ae_wan parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 tc qdisc add dev eth0.8.3 root handle 10: prio tc filter add dev eth0.8.3 parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 tc qdisc add dev eth0.8.4 root handle 10: prio tc filter add dev eth0.8.4 parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 tc qdisc add dev eth0.8.5 root handle 10: prio tc filter add dev eth0.8.5 parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 tc qdisc add dev eth0.8.6 root handle 10: prio tc filter add dev eth0.8.6 parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 tc qdisc add dev eth0 root handle 10: prio tc filter add dev eth0 parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 tc qdisc add dev ae_wan@0 root handle 10: prio tc filter add dev ae_wan@0 parent 10: protocol all prio 1 u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev ifb1 --- tc class add dev ifb1 parent 2:0 classid 2:1 htb rate 2000kbit ceil 2000kbit ---- tc class add dev ifb1 parent 2:1 classid 2:2 htb rate 1000kbit ceil 1000kbit tc filter add dev ifb1 parent 2:0 protocol all handle 0x8002 fw classid 2:2 tc qdisc add dev ifb1 parent 2:2 handle 22: sfq perturb 10。此外，ebtables表如下：~ # ebtables -L Bridge table: filter Bridge chain: INPUT, entries: 1, policy: ACCEPT -i ae_wan+ -j DROP Bridge chain: FORWARD, entries: 4, policy: ACCEPT -j EB_TS_WIREINTF_FORWARD -j EB_FORWARD_BEFORE_LAN -j EB_FORWARD_LAN -j EB_FORWARD_AFTER_LAN Bridge chain: OUTPUT, entries: 3, policy: ACCEPT -j EB_ETH_1905_OUTPUT -j EB_TS_WIREINTF_OUTPUT -j CSL_MARK_OUTPUT Bridge chain: EB_TS_WIREINTF_FORWARD, entries: 4, policy: RETURN -o eth0.8.4.40+ -j DROP -o eth0.8.5.40+ -j DROP -o eth0.8.3.40+ -j DROP -o eth0.8.6.40+ -j DROP Bridge chain: EB_TS_WIREINTF_OUTPUT, entries: 4, policy: RETURN -o eth0.8.4.40+ -j DROP -o eth0.8.5.40+ -j DROP -o eth0.8.3.40+ -j DROP -o eth0.8.6.40+ -j DROP Bridge chain: EB_FORWARD_BEFORE_LAN, entries: 1, policy: RETURN -i ae_wan+ -o ae_wan+ -j DROP Bridge chain: EB_FORWARD_LAN, entries: 8, policy: RETURN -i ra+ -o eth+ -j ACCEPT -i eth+ -o ra+ -j ACCEPT -i ra+ -o ra+ -j ACCEPT -i rai+ -o eth+ -j ACCEPT -i eth+ -o rai+ -j ACCEPT -i rai+ -o rai+ -j ACCEPT -i ra+ -o rai+ -j ACCEPT -i rai+ -o ra+ -j ACCEPT Bridge chain: EB_FORWARD_AFTER_LAN, entries: 0, policy: RETURN Bridge chain: ACCESSCTL, entries: 0, policy: ACCEPT Bridge chain: EB_ETH_1905_OUTPUT, entries: 0, policy: RETURN Bridge chain: CSL_MARK_OUTPUT, entries: 6, policy: ACCEPT -d 10:B6:76:57:7B:A1 -j mark --mark-set 0x8002 --mark-target ACCEPT -d 10:B6:76:57:7B:A1 -j RETURN -d A6:2A:D4:FE:88:21 -j mark --mark-set 0x8002 --mark-target ACCEPT -d A6:2A:D4:FE:88:21 -j RETURN -d 20:7B:D2:42:D9:03 -j mark --mark-set 0x8002 --mark-target ACCEPT -d 20:7B:D2:42:D9:03 -j RETURN ~ # 请分析为什么限速失败
10-21
- 然后添加过滤器重定向入口流量：`tc filter add dev ae_wan parent ffff: protocol all u32 match u32 0 0 action mirred egress redirect dev ifb1` 在用户的命令中，他们为每个设备添加了root qdisc和过滤器做...
UTIL_EXEC_SYSTEM("tc filter add dev %s parent 10: protocol all prio 1 " "u32 match u32 0 0 flowid 10:1 action mirred egress redirect dev %s", wanItfName, VM_WAN_INTERFACE); /* add fw filter and mirred action * 将所有来自wan的流量导向到LAN侧虚拟接口，而来自lan内的流量则不导向到虚拟接口。 * 利用fw filter的mask字段，只要给所有来自wan的流量设置过MASK_FOR_WAN2LAN，就能 * 帮助fw filter区分出来自wan的流量。*/ /* 修改fw mask，2016-02-03，wanglian */ UTIL_EXEC_SYSTEM("tc filter add dev %s parent 10: protocol all prio 1 handle 0x%x/0x%x " "fw classid 10:1 action mirred egress redirect dev %s", itfName, MASK_FOR_WAN2LAN, MASK_FOR_WAN2LAN, VM_LAN_INTERFACE); 这两个镜像与重定向有什么区别
09-28
| 分类器类型 | `u32` | `fw` | | 精确性 | 不精确，匹配所有流量 | 精确，仅匹配设置了特定 mark 的流量 | | 应用场景 | 入站流量整体整形 | 特定流向（如 WAN→LAN）的流量控制 | --- ## 实际网络场景中的配合...
/usr/local/bin # insmod /usr/local/bin/act_gact.ko /usr/local/bin # insmod /usr/local/bin/cls_u32.ko /usr/local/bin # insmod /usr/local/bin/em_u32.ko /usr/local/bin # insmod /usr/local/bin/act_pedit.ko /usr/local/bin # lsmod | grep -e 'u32' -e 'pedit' -e 'gact' act_pedit 4163 0 - Live 0x7f10c000 em_u32 802 0 - Live 0x7f108000 cls_u32 8975 0 - Live 0x7f102000 act_gact 3890 0 - Live 0x7f0fe000 < dst 169.254.0.0 mask 0xFFFFFF00 action pedit munge ip offset 1 u8 set 0x22 munge ip offset 8 u8 set 64 Unknown filter "u32", hence option "match" is unparsable 什么问题
07-03
但用户已经加载了`cls_u32`（这是u32分类器的模块）和`em_u32`（扩展匹配模块）。那么为什么还会报错？可能的原因：1.模块加载顺序问题：虽然加载了，但可能因为依赖关系没有满足，导致模块没有正确注册。2.内核版本...
/usr/local/bin # tc filter show dev eth0 <prio 1 u32 match ip dst 192.168.1.0/24 action pedit munge offset 1 u8 set 0x22 munge offset 8 u8 set 64 Unknown filter "u32", hence option "match" is unparsable /usr/local/bin # insmod /usr/local/bin/em_u32.ko <prio 1 u32 match ip dst 192.168.1.0/24 action pedit munge offset 1 u8 set 0x22 munge offset 8 u8 set 64 Unknown filter "u32", hence option "match" is unparsable /usr/local/bin # insmod /usr/local/bin/cls_u32.ko <prio 1 u32 match ip dst 192.168.1.0/24 action pedit munge offset 1 u8 set 0x22 munge offset 8 u8 set 64 Unknown filter "u32", hence option "match" is unparsable /usr/local/bin # lsmod cls_u32 8975 0 - Live 0x7f0f8000 em_u32 802 0 - Live 0x7f0f4000 act_pedit 4163 0 - Live 0x7f0ef000 IRoIP2 16108 0 - Live 0x7f0e7000 (O) vhub 239742 0 - Live 0x7f0a1000 (O) usbip_common_mod 13882 1 vhub, Live 0x7f099000 (O) 1500_i2s 93952 0 - Live 0x7f079000 (O) it662x 42316 0 - Live 0x7f069000 (O) videoip 221350 0 - Live 0x7f027000 (O) ssp 2614 1 videoip, Live 0x7f023000 (O) it6805 82822 0 - Live 0x7f007000 (O) ast_vc 11926 1 videoip, Live 0x7f000000 (O)
07-03
sudo modprobe cls_u32 # u32 分类器 sudo modprobe em_u32 # u32 扩展匹配 sudo modprobe act_pedit # 数据包编辑动作（关键！） # 检查模块状态 lsmod | grep -e 'u32' -e 'pedit' -e 'gact' ``` 若输出包含 `act...
linux中的u32问题,Linux流量控制---过滤规则/U32-
weixin_36310662的博客
05-14 614
Linux流量控制IV---实例解析以下二例是工作中用到的,贴出来算对流量控制的一种理解吧..呵呵.1.PRIO 分类优先算法(从左至右优先发包)eth0 1:/ | \1:11:2 1:3/ | \11: 12: 13:#tc ad add dev eth0 root handle 1: prio hands3 priomap 1---1 16个1(tos比特) 表示所有数据包注:此命令自动在1...
使用 tc 模拟网络延迟和丢包
weixin_42241611的博客
02-11 3421
需要注意的是：本文介绍的流控只能控制发包动作，不能控制收包动作，同时，它直接对物理接口生效，如果控制了物理的 eth0，那么逻辑网卡(比如 eth0:1)也会受到影响,反之,如果您在逻辑网卡上做控制,该控制可能是无效的。实际的情况是怎样使一个流量很小的类在某个时间类以最大的速率提供给其他类。队列规则包括 FIFO(先进先出)，RED(随机早期探测)，SFQ(随机公平队列)和令牌桶(Token Bucket)，类基队列(CBQ)，CBQ 是一种超级队列，即它能够包含其它队列(甚至其它 CBQ)。
06 对包进行分类的高级过滤器
皓瑞的博客
11-01 392
对包进行分类的高级过滤器 你能够了解到什么 在 04 带宽管理的队列规定 中，我们已经详细地讲述了 qdisc 以及 calss, filter 我们在使用，但是并没有详细地讲述其使用。 还记得 04 带宽管理的队列规定.md 告诫你不要尝试的案例吗，如果你想解决这个尴尬的问题，这章会给出你解决的方案。阅读本章，请保证 04 带宽管理的队列规定 相关的知识你已经掌握。 简介 就像在分类的队列规定一段中解释的，过滤器用于把数据包分类并分入对应的子队列中。这些过滤器在分类的队列规定的内部被调用。 下面就是我们可
继iptables之后的新一代包过滤框架是nftables
weixin_34183910的博客
11-12 758
夜已深然未央，准备接着讲述有关Netfilter的故事，行文有点松散，由于未打草稿，有点随意识而流，一气呵成不知是自夸还是自嘲，权当小时候写的日 记吧，自幼喜欢每天写日记，中学时更是以退士为名折腾了几箱子抄本，前几年由于喝酒就改为周记了，现在意识到了生命短暂，时间甚是不够用，不能在迷迷糊糊 中得过且过，就准备把自己知道的关于Linux网络的东西一点一...
使用Linux Tc实现入向和出向限速
cpf945的博客
08-03 5734
使用linux TC 实现入向和出向限速的方法，和ipv6限速方式。
linux下模拟发往多个特定ip或特定端口的数据包延迟
blocker7的博客
09-14 2107
利用tc模拟发往特定ip及端口的网络延迟
linux 过滤数据,Linux流量控制（二）--过滤器&分类
weixin_33957458的博客
05-12 364
继续前面的介绍。使用过滤器分类每块网卡都有一个出口根排队规则，缺省情况下是pfifo_fast排队规则。每个排队规则都指定一个句柄，句柄有两个部分，一个主号码和一个次号码。习惯上把根队列规定称为“1：”，等价于“1：0”。类的主号码必须与它们父辈的主号码一致。如下图。数据包是在根队列规定处入队和出队的，而内核只同根打交道。一个数据包可能是按照下面这个链状流程进行分类的：1: -> 1:1 -...
linux TC命令使用总结
热门推荐
OpenWrt/WLAN/驱动/Android/嵌入式开发总结
12-28 2万+
brctl addbr br0 brctl addif br0 eth1 ifconfig br0 192.168.119.7 ifconfig eth0 10.10.106.230 echo 1 > /proc/sys/net/ipv4/ip_forward  在实际的项目中，由于需要控制下载和上传的带宽，为特定的用户提供可靠的带宽保证。 上传时使用的是WAN口即用来连接外网的,在我
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Creator_Ly

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值