<-- 128kbit/s      --------------     <-- 10Mbit -->

  Internet <--------------------> | ADSL-модем | <--------------------

                1.5Mbit/s -->     --------------                     |

                                                                     | eth0

                                                                     V

                                                         -----------------------

                                                         |                     |

                                                         | Linux-маршрутизатор |

                                                         |                     |

                                                         -----------------------

                                                          | .. | eth1..ethN

                                                          |    |

                                                          V    V

                  

                                                           ЛВС

#!/bin/bash
#
# myshaper - Скрипт установки приоритетов и ограничения трафика для DSL/кабельных модемов.
#            Основан на ADSL/Cable wondershaper (www.lartc.org)
#
# Написан Дэном Синглетери (Dan Singletary 8/7/02)
#
# ПРИМЕЧАНИЕ!! - Полагается, что ваше ядро имеет соответствующие патчи
#                для поддержки очереди HTB и устройства IMQ. Эти патчи
#                доступны по адресам:
#                (дополнение: будущие ядра могут включать указанные патчи)
#
#                http://luxik.cdi.cz/~devik/qos/htb/
#                http://luxik.cdi.cz/~patrick/imq/
#
# Конфигурационные настройки для myshaper:
#  DEV    - укажите интерфейс "ethX", к которому подключен DSL/кабельный модем
#  RATEUP - укажите здесь значение, которое несколько ниже
#           исходящей пропускной способности DSL/кабельного модема.
#           У меня есть DSL-линия с параметрами 1500/128. Мне подошло
#           значение RATEUP=90 для исходящего потока в 128kbps.
#           Однако, в вашем случае это значение может быть другим.
#  RATEDN - укажите здесь значение, несколько меньшее входящей
#           пропускной возможности DSL/кабельного модема.
#
#
#  Немного теории по использованию imq для ограничения входящего потока:
#
#     Нет никакой возможности прямо ограничить скорость с которой информация
#  шлется к вам другими хостами в Internet. Для ограничения входящего
#  потока, мы должны положиться на алгоритмы избежания перегрузок протокола
#  TCP. Следовательно, МЫ МОЖЕМ ЛИШЬ ПОПЫТАТЬСЯ ОГРАНИЧИТЬ СКОРОСТЬ
#  ВХОДЯЩЕГО ПОТОКА TCP СОЕДИНЕНИЙ. Это значит, что весь не-tcp трафик
#  должен помещаться в высокоприоритетный класс, поскольку уничтожение
#  не-tcp пакетов скорее всего приведет к их повторной передаче, которая
#  будет только увеличивать загрузку канала. 
#     Мы попробуем ограничить входящий TCP трафик с помощью потери tcp пакетов,
#  когда переполнится очередь HTB. Сама очередь будет настроена на пропускную
#  способность (RATEDN) немного меньшую реальной входящей пропускной
#  способности. С помощью потери TCP пакетов, мы сэмулируем ситуацию
#  аналогичную переполнению очереди у нашего провайдера. Преимущество этого
#  метода в том, что у нашего провайдера очередь переполняться не будет,
#  потому что протокол TCP будет понижать скорость передачи в ответ на
#  потерю пакетов.
#     Выгода от использования приоритетной дисциплины обработки очереди
#  заключается в том, что мы можем задать типы трафика, пакеты котороых
#  НЕ будут теряться, помещая их в высокоприоритетные очереди (ssh,
#  telnet, etc). Этот способ работает благодаря тому, что в первую очередь
#  обрабатываются приоритетные пакеты, однако, при этом пакеты из остальных
#  очередей все равно будут получать минимальную гарантированую полосу
#  пропускания (в данном скрипте каждая очередь получает как минимум
#  1/7 часть полосы пропускания).  
#
#  Повторим ключевые моменты:
#   * Потеря tcp-пакета ведет к понижению скорости передачи пакетов
#     передающим узлом, благодаря алгоритму предотвращения перегрузок.
#   * Мы не получаем никакой выгоды от потери не-ТСP пакетов. Фактически, если
#     эти пакеты важны, они будут переданы повторно. Поэтому мы попытаемся никогда
#     не терять такие пакеты. Это означает, что интенсивные TCP-соединения не
#     будут влиять на другие протоколы, не поддерживающие повторную передачу как TCP.
#   * Понижение скорости входящего TCP-трафика следует выполнять так, чтобы
#     суммарная пропускная способность была ниже, чем физическая пропускная возможность
#     устройства (ADSL/кабельного модема). Это нужно для того, чтобы пакеты не
#     задерживались в очереди у провайдера (DSLAM, кабельном концентраторе, и т.п.). 
#     Поскольку, по наблюдениям, это оборудование помещает в очередь примерно 4 секунды
#     потока данных на скорости 6 мегабит, отсутствие этой очереди означает меньшее
#     время задержки.
#
#  Объяснение (вопросы, возникающие до тестирования):
#   * Скажется ли ограничение входящего трафика этим способом на производительности при 
#     больших закачках?
#     - Сразу отвечу: нет! Если повысить приоритет ACK-пакетов (размер <64б)
#       мы сможем максимально использовать полосу пропускания, не тратя ее на
#       повторную передачу уже полученных пакетов.
#  

# ПРИМЕЧАНИЕ: Следующая настройка предназначения для моего соединения:
# 1.5M/128K ADSL via Pacific Bell Internet (SBC Global Services)

DEV=eth0
RATEUP=90
RATEDN=700  # Обратите внимание, что это значительно меньше реального значения 1500.
            # Из-за этого вы можете не захотеть использовать ограничение входящего трафика
            # пока оно не будет реализовано лучше, например на основе изменения размера окна.

#
# Конец раздела настроек
#

if [ "$1" = "status" ]
then
        echo "[qdisc]"
        tc -s qdisc show dev $DEV
        tc -s qdisc show dev imq0
        echo "[class]"
        tc -s class show dev $DEV
        tc -s class show dev imq0
        echo "[filter]"
        tc -s filter show dev $DEV
        tc -s filter show dev imq0
        echo "[iptables]"
        iptables -t mangle -L MYSHAPER-OUT -v -x 2> /dev/null
        iptables -t mangle -L MYSHAPER-IN -v -x 2> /dev/null
        exit
fi

# Сбросить все в известное состояние (очищеное)
tc qdisc del dev $DEV root    2> /dev/null > /dev/null
tc qdisc del dev imq0 root 2> /dev/null > /dev/null
iptables -t mangle -D POSTROUTING -o $DEV -j MYSHAPER-OUT 2> /dev/null > /dev/null
iptables -t mangle -F MYSHAPER-OUT 2> /dev/null > /dev/null
iptables -t mangle -X MYSHAPER-OUT 2> /dev/null > /dev/null
iptables -t mangle -D PREROUTING -i $DEV -j MYSHAPER-IN 2> /dev/null > /dev/null
iptables -t mangle -F MYSHAPER-IN 2> /dev/null > /dev/null
iptables -t mangle -X MYSHAPER-IN 2> /dev/null > /dev/null
ip link set imq0 down 2> /dev/null > /dev/null
rmmod imq 2> /dev/null > /dev/null

if [ "$1" = "stop" ]
then
        echo "Shaping removed on $DEV."
        exit
fi

###########################################################
#
# Ограничение исходящего потока (ограничивает пропускную способность до RATEUP)

# установить размер очереди, соответствующий двухсекундной задержке на низкоприоритетном трафике
ip link set dev $DEV qlen 30

# изменяем значение mtu на исходящем устройстве. Понижение значения mtu уменьшит задержку, но
# и немного понизит пропускную способность из-за увеличения числа
# заголовков протоколов IP и TCP .
ip link set dev $DEV mtu 1000

# добавить корневую дисциплину HTB
tc qdisc add dev $DEV root handle 1: htb default 26

# добавить общее ограничение скорости по классу
tc class add dev $DEV parent 1: classid 1:1 htb rate ${RATEUP}kbit

# добавляем подклассы - мы гарантируем каждаму классу МИНИМУМ "честную часть" полосы пропускания.
#                       Этим способом мы избегаем возможности "голодания" классов. Каждому классу
#                       разрешается занимать всю полосу пропускания, если другие классы не
#                       используются.
tc class add dev $DEV parent 1:1 classid 1:20 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 0
tc class add dev $DEV parent 1:1 classid 1:21 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 1
tc class add dev $DEV parent 1:1 classid 1:22 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 2
tc class add dev $DEV parent 1:1 classid 1:23 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 3
tc class add dev $DEV parent 1:1 classid 1:24 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 4
tc class add dev $DEV parent 1:1 classid 1:25 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 5
tc class add dev $DEV parent 1:1 classid 1:26 htb rate $[$RATEUP/7]kbit ceil ${RATEUP}kbit prio 6

# подключаем дисциплины обработки очереди к подклассам - здесь мы используем SFQ для каждого класса.
#                       SFQ обеспечит почти честное деление полосы пропускания между соединениями
#                       внутри каждого класса.  
tc qdisc add dev $DEV parent 1:20 handle 20: sfq perturb 10
tc qdisc add dev $DEV parent 1:21 handle 21: sfq perturb 10
tc qdisc add dev $DEV parent 1:22 handle 22: sfq perturb 10
tc qdisc add dev $DEV parent 1:23 handle 23: sfq perturb 10
tc qdisc add dev $DEV parent 1:24 handle 24: sfq perturb 10
tc qdisc add dev $DEV parent 1:25 handle 25: sfq perturb 10
tc qdisc add dev $DEV parent 1:26 handle 26: sfq perturb 10

# направляем трафик в классы по fwmark - мы направляем трафик в классы, в соответствии со значением
#                                        fwmark установленном на пакете (мы будем устанавливать это
#                                        значение утилитой iptables позже). Обратите внимание, что
#                                        выше мы установили класс по умолчанию 1:26, так что 
#                                        немаркированные пакеты (или с неизвестными значениями fwmark
#                                        будут направлены в низкоприоритетный класс.
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 22 fw flowid 1:22
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 23 fw flowid 1:23
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 24 fw flowid 1:24
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 25 fw flowid 1:25
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 26 fw flowid 1:26

# добавить цепочку MYSHAPER-OUT в таблицу mangle - сейчас мы настроим таблицу, которую будем
#                                                  использовать для фильтрации и установки fwmark
iptables -t mangle -N MYSHAPER-OUT
iptables -t mangle -I POSTROUTING -o $DEV -j MYSHAPER-OUT

# маркируем пакеты с помощью fwmark - устанавливаем значения 20-26 в зависимости от
#                                     нужного класса. Высший приоритет - 20.
iptables -t mangle -A MYSHAPER-OUT -p tcp --sport 0:1024 -j MARK --set-mark 23 # Низкоприоритетный трафик
iptables -t mangle -A MYSHAPER-OUT -p tcp --dport 0:1024 -j MARK --set-mark 23 # ""
iptables -t mangle -A MYSHAPER-OUT -p tcp --dport 20 -j MARK --set-mark 26     # порт ftp-data, низкий приоритет
iptables -t mangle -A MYSHAPER-OUT -p tcp --dport 5190 -j MARK --set-mark 23   # интернет-пейджер aol
iptables -t mangle -A MYSHAPER-OUT -p icmp -j MARK --set-mark 20               # ICMP (ping) - высокий приоритет,
                                                                               # будем удивлять друзей
iptables -t mangle -A MYSHAPER-OUT -p udp -j MARK --set-mark 21                # распознавание имен DNS (маленькие пакеты)
iptables -t mangle -A MYSHAPER-OUT -p tcp --dport ssh -j MARK --set-mark 22    # secure shell
iptables -t mangle -A MYSHAPER-OUT -p tcp --sport ssh -j MARK --set-mark 22    # secure shell
iptables -t mangle -A MYSHAPER-OUT -p tcp --dport telnet -j MARK --set-mark 22 # telnet (ew...)
iptables -t mangle -A MYSHAPER-OUT -p tcp --sport telnet -j MARK --set-mark 22 # telnet (ew...)
iptables -t mangle -A MYSHAPER-OUT -p ipv6-crypt -j MARK --set-mark 24         # IPSec - мы не знаем полезную нагрузку, однако...
iptables -t mangle -A MYSHAPER-OUT -p tcp --sport http -j MARK --set-mark 25   # локальный веб-сервер
iptables -t mangle -A MYSHAPER-OUT -p tcp -m length --length :64 -j MARK --set-mark 21 # маленькие пакеты
                                                                               # скорее всего ACK-пакеты
iptables -t mangle -A MYSHAPER-OUT -m mark --mark 0 -j MARK --set-mark 26      # избыточно - смаркировать все неотмаркированые 
                                                                               # пакеты как 26 (низкий проиритет)

# Конец ограничения исходящего потока
#
####################################################

echo "Outbound shaping added to $DEV.  Rate: ${RATEUP}Kbit/sec."

# Раскомментируйте следующую строку, если хотите ограничить только исходящий трафик.
# exit

####################################################
#
# Ограничение входящего потока (ограничивает пропускную способность до RATEDN)

# убедимся, что модуль imq загружен

modprobe imq numdevs=1

ip link set imq0 up

# добавляем дисциплину - низкоприоритетный класс по умолчанию 1:21

tc qdisc add dev imq0 handle 1: root htb default 21

# добавляем общее ограничение скорости по классу
tc class add dev imq0 parent 1: classid 1:1 htb rate ${RATEDN}kbit

# добавляем подклассы - TCP traffic in 21, non TCP traffic in 20
#
tc class add dev imq0 parent 1:1 classid 1:20 htb rate $[$RATEDN/2]kbit ceil ${RATEDN}kbit prio 0
tc class add dev imq0 parent 1:1 classid 1:21 htb rate $[$RATEDN/2]kbit ceil ${RATEDN}kbit prio 1

# подключаем дисциплины обработки очереди к подклассам - здесь мы используем SFQ для каждого класса.
#                       SFQ обеспечит почти честное деление полосы пропускания между соединениями
#                       внутри каждого класса.  
tc qdisc add dev imq0 parent 1:20 handle 20: sfq perturb 10
tc qdisc add dev imq0 parent 1:21 handle 21: red limit 1000000 min 5000 max 100000 avpkt 1000 burst 50

# направляем трафик в классы по fwmark - мы направляем трафик в классы, в соответствии со значением
#                                        fwmark установленном на пакете (мы будем устанавливать это
#                                        значение утилитой iptables позже). Обратите внимание, что
#                                        выше мы установили класс по умолчанию 1:26, так что 
#                                        немаркированные пакеты (или с неизвестными значениями fwmark
#                                        будут направлены в низкоприоритетный класс.
tc filter add dev imq0 parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20
tc filter add dev imq0 parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21

# добавить цепочку MYSHAPER-OUT в таблицу mangle - сейчас мы настроим таблицу, которую будем
#                                                  использовать для фильтрации и установки fwmark
iptables -t mangle -N MYSHAPER-IN
iptables -t mangle -I PREROUTING -i $DEV -j MYSHAPER-IN

# маркируем пакеты с помощью fwmark - устанавливаем значения 20-26 в зависимости от
#                                     нужного класса. Высший приоритет - 20.
iptables -t mangle -A MYSHAPER-IN -p ! tcp -j MARK --set-mark 20              # Маркировать не-tcp пакеты как высокоприоритетные
iptables -t mangle -A MYSHAPER-IN -p tcp -m length --length :64 -j MARK --set-mark 20 # маленькие TCP-пакеты - вероято ACK
iptables -t mangle -A MYSHAPER-IN -p tcp --dport ssh -j MARK --set-mark 20    # secure shell
iptables -t mangle -A MYSHAPER-IN -p tcp --sport ssh -j MARK --set-mark 20    # secure shell
iptables -t mangle -A MYSHAPER-IN -p tcp --dport telnet -j MARK --set-mark 20 # telnet (ew...)
iptables -t mangle -A MYSHAPER-IN -p tcp --sport telnet -j MARK --set-mark 20 # telnet (ew...)
iptables -t mangle -A MYSHAPER-IN -m mark --mark 0 -j MARK --set-mark 21      # избыточно - маркировать немаркированные 
                                                                              # пакеты как 26 (низкий приоритет)

# Наконец, пропустить все эти пакеты через imq0
iptables -t mangle -A MYSHAPER-IN -j IMQ

# Конец ограничения входящего потока
#
####################################################

echo "Inbound shaping added to $DEV.  Rate: ${RATEDN}Kbit/sec."