Linux内核网络流量控制：tc filter add配置全解析

Linux内核网络流量控制：tc filter add配置全解析

【免费下载链接】linux Linux kernel source tree 项目地址: https://gitcode.com/GitHub_Trending/li/linux

引言：你还在为复杂网络流量管理头疼吗？

在Linux系统中，网络流量控制（Traffic Control，TC）是管理网络带宽、优化数据包传输的关键工具。而tc filter add命令作为TC框架的核心组成部分，承担着流量分类和过滤的重要角色。无论是企业级服务器的QoS（Quality of Service，服务质量）保障，还是嵌入式设备的网络性能优化，掌握tc filter add的配置方法都至关重要。

本文将从基础概念出发，详细讲解tc filter add命令的语法结构、常用参数、实际应用场景以及高级配置技巧，帮助你轻松应对各种网络流量管理需求。读完本文，你将能够：

• 理解TC过滤器的工作原理和分类机制
• 熟练使用tc filter add命令配置各种过滤规则
• 根据实际需求设计高效的流量控制策略
• 解决常见的网络性能问题和流量管理挑战

一、TC过滤器基础：从概念到原理

1.1 TC框架简介

Linux内核的流量控制子系统（TC）是一个功能强大的网络管理工具集，它允许用户对进出网络接口的数据包进行精细的控制。TC框架主要由以下几个核心组件构成：

• QDisc（排队规则）：控制数据包的排队和调度方式
• Class（类别）：将流量划分为不同的类别，以便进行差异化处理
• Filter（过滤器）：根据指定的规则对数据包进行分类，决定其归属的类别或处理方式

1.2 过滤器的作用与分类

过滤器（Filter）是TC框架中实现流量分类的关键组件，它通过检查数据包的各种属性（如源IP地址、目的IP地址、端口号、协议类型等），将其分配到不同的类别（Class）中，以便QDisc进行差异化的调度和处理。

根据匹配规则的不同，TC过滤器主要分为以下几类：

• u32：基于数据包的32位无符号整数模式进行匹配，灵活性高
• fw：基于防火墙标记（fwmark）进行匹配
• route：基于路由表信息进行匹配
• tcindex：基于流量控制索引进行匹配
• flower：基于流（flow）的匹配，支持多种高级匹配条件
• bpf：使用BPF（Berkeley Packet Filter）程序进行匹配，功能强大且灵活

1.3 过滤器的工作流程

当数据包到达网络接口时，TC框架会按照以下流程进行处理：

1. 数据包进入网络接口
2. TC框架将数据包传递给入口（ingress）QDisc
3. 入口QDisc使用过滤器对数据包进行分类
4. 根据分类结果，数据包被分配到相应的类别
5. 类别对数据包进行处理（如限速、延迟等）
6. 处理后的数据包被传递给网络协议栈或出口（egress）QDisc
7. 出口QDisc再次使用过滤器进行分类和处理
8. 最终，数据包通过网络接口发送出去

二、tc filter add命令详解：语法与参数

2.1 基本语法结构

tc filter add命令的基本语法如下：

tc filter add dev DEV [ parent qdisc-id | root ] [ protocol PROTO ]
               [ prio PRIO ] filtertype [ filtertype specific parameters ]
               [ action ACTION_SPEC ] [ classid CLASSID ]

其中，各参数的含义如下：

• dev DEV：指定要应用过滤器的网络接口
• parent qdisc-id | root：指定父QDisc的ID，或使用root表示根QDisc
• protocol PROTO：指定要匹配的网络协议，如ip、ipv6、arp等
• prio PRIO：指定过滤器的优先级，数值越小优先级越高
• filtertype：指定过滤器类型，如u32、fw、flower、bpf等
• filtertype specific parameters：特定过滤器类型的参数
• action ACTION_SPEC：指定匹配后要执行的动作
• classid CLASSID：指定匹配后要分配到的类别ID

2.2 常用参数解析

2.2.1 设备与优先级

• dev：指定网络接口，如eth0、wlan0等。这是必须指定的参数。

• prio：设置过滤器的优先级。当多个过滤器存在时，优先级高（数值小）的过滤器会先被执行。例如：

tc filter add dev eth0 ingress prio 1 protocol ip u32 ...
tc filter add dev eth0 ingress prio 2 protocol ip u32 ...

在上面的例子中，优先级为1的过滤器会先于优先级为2的过滤器执行。

2.2.2 协议与匹配

• protocol：指定要匹配的网络协议。常用的协议有：

  • ip：IPv4协议
  • ipv6：IPv6协议
  • arp：ARP协议
  • 802.1Q：VLAN协议

• filtertype：选择过滤器类型。不同的过滤器类型有不同的匹配规则和参数。

2.2.3 动作与分类

• action：指定当数据包匹配过滤器时要执行的动作。常用的动作包括：

  • drop：丢弃数据包
  • ok：接受数据包，不做进一步处理
  • reclassify：重新分类数据包
  • mirror：将数据包镜像到指定接口
  • redirect：将数据包重定向到指定接口
  • gact：通用动作模块，支持更复杂的动作组合

• classid：指定匹配的数据包要分配到的类别ID。类别ID的格式为major:minor，其中major是QDisc的主ID，minor是类别的子ID。

2.3 过滤器类型及参数

2.3.1 u32过滤器

u32过滤器是最常用的过滤器之一，它允许根据数据包中的32位无符号整数模式进行匹配。其基本语法如下：

tc filter add dev DEV [ parent qdisc-id | root ] [ protocol PROTO ]
               [ prio PRIO ] u32 [ match SELECTOR ] [ police POLICE_SPEC ]
               [ action ACTION_SPEC ] [ classid CLASSID ]

其中，match SELECTOR是u32过滤器的核心参数，用于定义匹配规则。SELECTOR的格式为：

SELECTOR := SAMPLE [ OFFSET ] [ MASK ] AT [ LAYER ]

例如，匹配源IP地址为192.168.1.100的IPv4数据包：

tc filter add dev eth0 protocol ip u32 match ip src 192.168.1.100/32 classid 1:10

2.3.2 flower过滤器

flower（Flow-Based Traffic Control）过滤器是一种基于流的过滤器，支持多种高级匹配条件。其基本语法如下：

tc filter add dev DEV [ parent qdisc-id | root ] [ protocol PROTO ]
               [ prio PRIO ] flower [ src_mac MAC_ADDR ] [ dst_mac MAC_ADDR ]
               [ src_ip IP_ADDR ] [ dst_ip IP_ADDR ] [ src_port PORT ]
               [ dst_port PORT ] [ ip_proto PROTO ] [ tcp_flags FLAGS ]
               [ vlan_id VID ] [ vlan_prio PRIO ] [ action ACTION_SPEC ]
               [ classid CLASSID ]

例如，匹配源IP为192.168.1.100，目的端口为80的TCP数据包：

tc filter add dev eth0 protocol ip flower src_ip 192.168.1.100 dst_port 80 ip_proto tcp action drop

2.3.3 bpf过滤器

bpf过滤器允许使用BPF程序进行数据包匹配，提供了极高的灵活性和功能扩展性。其基本语法如下：

tc filter add dev DEV [ parent qdisc-id | root ] [ protocol PROTO ]
               [ prio PRIO ] bpf da obj FILE.o sec NAME [ action ACTION_SPEC ]
               [ classid CLASSID ]

其中，obj FILE.o指定编译好的BPF目标文件，sec NAME指定要加载的BPF程序段。

例如，加载一个名为filter的BPF程序段：

tc filter add dev eth0 ingress bpf da obj filter.o sec filter classid 1:10

三、实际应用场景：从基础到高级

3.1 基于IP地址的流量分类

场景描述：将来自不同IP地址段的流量分配到不同的类别，以便进行差异化的QoS处理。

配置示例：

# 创建根QDisc
tc qdisc add dev eth0 root handle 1: htb default 10

# 创建两个类别
tc class add dev eth0 parent 1: classid 1:10 htb rate 100mbit
tc class add dev eth0 parent 1: classid 1:20 htb rate 50mbit

# 添加过滤器：将来自192.168.1.0/24网段的流量分配到类别1:20
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip src 192.168.1.0/24 classid 1:20

# 添加过滤器：将其他流量分配到默认类别1:10
tc filter add dev eth0 protocol ip parent 1: prio 2 u32 match ip src 0.0.0.0/0 classid 1:10

解析：上述配置首先创建了一个根QDisc和两个类别，然后使用u32过滤器根据源IP地址对流量进行分类。来自192.168.1.0/24网段的流量被分配到带宽为50Mbit的类别1:20，其他流量则进入带宽为100Mbit的默认类别1:10。

3.2 基于端口的流量控制

场景描述：限制特定端口的流量带宽，如限制HTTP（80端口）和HTTPS（443端口）的带宽。

配置示例：

# 创建根QDisc
tc qdisc add dev eth0 root handle 1: htb default 10

# 创建默认类别，带宽为100mbit
tc class add dev eth0 parent 1: classid 1:10 htb rate 100mbit

# 创建HTTP流量类别，带宽为20mbit
tc class add dev eth0 parent 1: classid 1:20 htb rate 20mbit

# 创建HTTPS流量类别，带宽为30mbit
tc class add dev eth0 parent 1: classid 1:30 htb rate 30mbit

# 添加过滤器：匹配目的端口为80的TCP流量，分配到类别1:20
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dport 80 0xffff match ip proto 6 0xff classid 1:20

# 添加过滤器：匹配目的端口为443的TCP流量，分配到类别1:30
tc filter add dev eth0 protocol ip parent 1: prio 2 u32 match ip dport 443 0xffff match ip proto 6 0xff classid 1:30

解析：上述配置创建了三个类别，分别用于默认流量、HTTP流量和HTTPS流量。通过u32过滤器，根据目的端口和协议类型（TCP）对流量进行分类，实现了对不同端口流量的带宽限制。

3.3 基于VLAN的流量分离

场景描述：在支持VLAN的网络环境中，根据VLAN ID分离不同的业务流量。

配置示例：

# 创建根QDisc
tc qdisc add dev eth0 root handle 1: htb default 10

# 创建VLAN 10的类别，带宽为50mbit
tc class add dev eth0 parent 1: classid 1:10 htb rate 50mbit

# 创建VLAN 20的类别，带宽为30mbit
tc class add dev eth0 parent 1: classid 1:20 htb rate 30mbit

# 添加过滤器：匹配VLAN ID为10的流量，分配到类别1:10
tc filter add dev eth0 protocol 802.1Q parent 1: prio 1 flower vlan_id 10 classid 1:10

# 添加过滤器：匹配VLAN ID为20的流量，分配到类别1:20
tc filter add dev eth0 protocol 802.1Q parent 1: prio 2 flower vlan_id 20 classid 1:20

解析：上述配置使用flower过滤器根据VLAN ID对流量进行分类。VLAN 10的流量被分配到带宽为50Mbit的类别1:10，VLAN 20的流量被分配到带宽为30Mbit的类别1:20，实现了不同VLAN业务的流量分离和带宽控制。

3.4 使用BPF程序进行高级过滤

场景描述：使用BPF程序实现复杂的流量过滤逻辑，如根据数据包内容进行深度检测。

配置示例：

首先，编写一个简单的BPF程序（filter.c）：

#include <vmlinux.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_endian.h>

SEC("filter")
int tc_filter(struct __sk_buff *skb) {
    // 匹配目的端口为8080的TCP流量
    struct tcphdr *tcp;
    struct iphdr *ip;
    void *data_end = (void *)(long)skb->data_end;
    void *data = (void *)(long)skb->data;
    
    ip = data;
    if (ip + 1 > data_end)
        return TC_ACT_OK;
    
    if (ip->protocol != IPPROTO_TCP)
        return TC_ACT_OK;
    
    tcp = data + ip->ihl * 4;
    if (tcp + 1 > data_end)
        return TC_ACT_OK;
    
    if (bpf_ntohs(tcp->dest) == 8080)
        return TC_ACT_SHOT; // 丢弃匹配的数据包
    
    return TC_ACT_OK; // 允许其他数据包通过
}

char LICENSE[] SEC("license") = "GPL";

然后，编译BPF程序：

clang -target bpf -D__TARGET_ARCH_x86_64 -O2 -c filter.c -o filter.o

最后，加载BPF过滤器：

tc filter add dev eth0 ingress bpf da obj filter.o sec filter

解析：上述BPF程序实现了一个简单的过滤逻辑，丢弃所有目的端口为8080的TCP数据包。通过tc filter add命令加载该BPF程序后，系统会对进入eth0接口的所有数据包执行这个过滤逻辑。

3.5 优先级控制与流量整形

场景描述：为不同类型的流量设置不同的优先级，确保关键业务（如VoIP）的服务质量。

配置示例：

# 创建根QDisc
tc qdisc add dev eth0 root handle 1: prio bands 3 priomap 2 2 2 2 2 2 2 2 1 1 1 1 0 0 0 0

# 创建三个类别，分别对应高、中、低优先级
tc class add dev eth0 parent 1:1 classid 1:10 htb rate 40mbit
tc class add dev eth0 parent 1:2 classid 1:20 htb rate 30mbit
tc class add dev eth0 parent 1:3 classid 1:30 htb rate 20mbit

# 添加过滤器：将DSCP标记为EF（ Expedited Forwarding）的流量分配到高优先级类别
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip tos 0x2e 0xff classid 1:10

# 添加过滤器：将SSH流量（22端口）分配到中优先级类别
tc filter add dev eth0 protocol ip parent 1: prio 2 u32 match ip dport 22 0xffff match ip proto 6 0xff classid 1:20

# 添加过滤器：将HTTP流量（80端口）分配到低优先级类别
tc filter add dev eth0 protocol ip parent 1: prio 3 u32 match ip dport 80 0xffff match ip proto 6 0xff classid 1:30

解析：上述配置使用prio QDisc创建了三个优先级队列（band），并通过u32过滤器根据DSCP标记和端口号将不同类型的流量分配到不同优先级的类别中。VoIP流量通常使用EF DSCP标记，被分配到高优先级类别，确保低延迟和低抖动；SSH流量被分配到中优先级类别；HTTP流量则被分配到低优先级类别。

四、高级配置技巧与最佳实践

4.1 过滤器优先级与匹配顺序

在配置多个过滤器时，优先级（prio）的设置非常重要。优先级数值越小，过滤器越先被执行。如果一个数据包匹配了多个过滤器，只有第一个匹配的过滤器会生效。

最佳实践：

• 将更具体的过滤规则设置为更高优先级（较小的prio值）
• 将更通用的过滤规则设置为较低优先级（较大的prio值）
• 避免创建过多的过滤器，以免影响性能

例如，在同时基于IP地址和端口进行过滤时，应将基于IP+端口的更具体规则设置为更高优先级：

# 高优先级：匹配来自192.168.1.100且目的端口为80的流量
tc filter add dev eth0 protocol ip prio 1 u32 match ip src 192.168.1.100/32 match ip dport 80 0xffff classid 1:10

# 低优先级：匹配所有来自192.168.1.0/24网段的流量
tc filter add dev eth0 protocol ip prio 2 u32 match ip src 192.168.1.0/24 classid 1:20

4.2 结合动作（Action）进行流量处理

tc filter add命令的action参数允许在匹配到数据包后执行特定的动作，如丢弃、重定向、修改等。常用的动作包括：

• drop：丢弃数据包
• ok：接受数据包，不做进一步处理
• reclassify：重新分类数据包
• mirror dev DEV：将数据包镜像到指定接口
• redirect dev DEV：将数据包重定向到指定接口
• gact ...：通用动作模块，支持更复杂的动作组合

示例：将来自特定IP的流量重定向到另一个接口

tc filter add dev eth0 protocol ip prio 1 u32 match ip src 192.168.1.100/32 action redirect dev eth1

4.3 监控与调试过滤器

配置过滤器后，需要对其进行监控和调试，以确保其按预期工作。常用的工具和命令包括：

• tc filter show dev DEV：显示指定接口上的所有过滤器
• tc -s filter show dev DEV：显示过滤器的统计信息
• tcpdump：捕获数据包，验证过滤规则是否生效
• tc monitor：实时监控TC配置的变化

示例：查看eth0接口上的过滤器及其统计信息

tc -s filter show dev eth0

4.4 性能优化建议

大量或复杂的过滤器可能会影响系统性能，以下是一些优化建议：

1. 减少过滤器数量：合并相似的过滤规则，避免不必要的过滤器
2. 合理设置优先级：将频繁匹配的过滤器设置为高优先级
3. 使用高效的过滤器类型：对于简单匹配，优先使用u32过滤器；对于复杂匹配，考虑使用flower或bpf过滤器
4. 避免深度包检测：除非必要，否则不要对数据包内容进行深度检测
5. 定期清理无用过滤器：移除不再需要的过滤器规则

五、常见问题与解决方案

5.1 过滤器不生效

问题描述：配置了过滤器，但流量似乎没有被正确分类或处理。

可能原因：

1. 过滤器优先级设置不当，导致匹配顺序错误
2. 过滤规则定义不正确，无法匹配目标流量
3. QDisc或类别配置有误，影响过滤器的应用
4. 网络接口或协议不匹配

解决方案：

1. 使用tc filter show dev DEV检查过滤器配置是否正确
2. 使用tc -s filter show dev DEV查看过滤器的匹配统计，确认是否有数据包被匹配
3. 检查QDisc和类别配置，确保过滤器被正确关联
4. 使用tcpdump捕获数据包，分析其属性是否与过滤规则匹配
5. 尝试简化过滤规则，逐步增加复杂度

5.2 系统性能下降

问题描述：配置过滤器后，系统网络性能明显下降，如延迟增加、吞吐量降低等。

可能原因：

1. 过滤器数量过多，导致处理开销增大
2. 过滤规则过于复杂，如使用大量正则表达式或深度包检测
3. BPF程序编写不当，存在性能瓶颈
4. 系统资源不足，无法承载过滤开销

解决方案：

1. 减少过滤器数量，合并相似规则
2. 简化过滤规则，避免不必要的复杂匹配
3. 优化BPF程序，减少不必要的计算和内存访问
4. 考虑升级硬件或增加系统资源
5. 使用性能分析工具（如perf）定位性能瓶颈

5.3 过滤器规则冲突

问题描述：配置了多个过滤器，发现某些规则之间存在冲突，导致流量分类不符合预期。

可能原因：

1. 过滤器优先级设置不当，导致规则匹配顺序错误
2. 过滤规则的匹配条件存在重叠
3. 不同过滤器类型之间的交互问题

解决方案：

1. 明确各过滤器的优先级，确保特定规则优先于通用规则
2. 检查并修改存在重叠的过滤规则
3. 避免混合使用不同类型的过滤器，除非明确了解其交互行为
4. 使用tc filter show dev DEV查看所有过滤器，梳理其匹配顺序和条件

六、总结与展望

6.1 本文要点回顾

本文详细介绍了Linux内核网络流量控制中tc filter add命令的配置方法和应用技巧，主要内容包括：

1. TC过滤器的基本概念和工作原理，包括QDisc、Class和Filter之间的关系
2. tc filter add命令的语法结构和常用参数解析
3. 不同类型过滤器（如u32、flower、bpf）的特点和使用方法
4. 实际应用场景，包括基于IP、端口、VLAN的流量分类和控制
5. 高级配置技巧，如优先级控制、动作配置、性能优化等
6. 常见问题的诊断和解决方法

通过掌握这些知识，你可以灵活配置tc filter add命令，实现对网络流量的精细控制，满足不同场景下的QoS需求。

6.2 进阶学习建议

要进一步深入学习Linux流量控制和tc命令，可以参考以下资源和方向：

1. 深入学习TC框架：了解更多QDisc类型（如SFQ、RED、HTB等）的原理和配置方法
2. BPF编程：学习BPF程序开发，利用eBPF（extended BPF）实现更强大的流量处理功能
3. 网络命名空间：结合网络命名空间，构建复杂的网络拓扑和测试环境
4. 自动化配置工具：学习使用tcng（Traffic Control Next Generation）等工具简化TC配置
5. 开源项目：研究如tcconfig、netem等开源项目，了解实际应用案例

6.3 未来发展趋势

随着网络技术的发展，Linux流量控制子系统也在不断演进。未来可能的发展趋势包括：

1. eBPF的广泛应用：eBPF技术的快速发展将为流量控制带来更多可能性，如实时流量分析、动态调整QoS策略等
2. 智能化流量管理：结合机器学习和人工智能技术，实现基于流量特征的自动分类和优化
3. 容器网络集成：与Kubernetes等容器编排平台更紧密的集成，提供更细粒度的容器级流量控制
4. 高性能网络处理：随着DPU（Data Processing Unit）等硬件加速技术的发展，流量控制将向硬件卸载方向发展，进一步提升性能

通过持续关注这些发展趋势，你可以及时掌握新的技术和工具，不断提升网络流量管理的能力。

附录：常用tc filter add命令速查表

功能描述	命令示例
查看接口上的过滤器	tc filter show dev eth0
添加u32过滤器匹配源IP	tc filter add dev eth0 protocol ip u32 match ip src 192.168.1.0/24 classid 1:10
添加u32过滤器匹配目的端口	tc filter add dev eth0 protocol ip u32 match ip dport 80 0xffff match ip proto 6 0xff classid 1:20
添加flower过滤器匹配VLAN ID	tc filter add dev eth0 protocol 802.1Q flower vlan_id 10 classid 1:30
添加bpf过滤器	tc filter add dev eth0 ingress bpf da obj filter.o sec filter
添加重定向动作	tc filter add dev eth0 protocol ip u32 match ip src 192.168.1.100/32 action redirect dev eth1
添加镜像动作	tc filter add dev eth0 protocol ip u32 match ip src 192.168.1.0/24 action mirror dev eth2
删除接口上的所有过滤器	tc filter del dev eth0 all

希望本文能帮助你更好地理解和使用tc filter add命令，提升Linux网络流量管理的能力。如有任何问题或建议，欢迎在评论区留言讨论。

【免费下载链接】linux Linux kernel source tree 项目地址: https://gitcode.com/GitHub_Trending/li/linux