ubuntu防火墙限制带宽的方法 - 问答

Ubuntu防火墙限制带宽的主要方法

1. 使用iptables结合limit模块限制带宽

iptables是Ubuntu自带的防火墙工具，可通过limit模块限制特定流量的速率。适用于简单场景（如限制SSH登录速率）。
示例命令：

# 限制SSH（端口22）的新建连接速率为100个/分钟，超出后丢弃
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m limit --limit 100/minute -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP

说明：--limit指定速率（支持/second、/minute等单位），-m limit启用速率限制模块。需保存规则（sudo iptables-save | sudo tee /etc/iptables/rules.v4）以持久化。

2. 使用tc（Traffic Control）工具实现精细化带宽控制

tc是Linux内核提供的流量控制工具，通过HTB（Hierarchical Token Bucket）队列调度算法实现灵活的带宽分配，适用于复杂场景（如限制特定IP或端口的带宽）。
步骤详解：

安装工具：

sudo apt update && sudo apt install iproute2

创建HTB队列：
将eth0（替换为目标接口）附加到HTB队列，handle 1:为队列句柄，default 30表示未匹配流量的默认类。
```
sudo tc qdisc add dev eth0 root handle 1: htb default 30
```
创建带宽类：
设置父类（1:）的保证带宽（rate）和最大带宽（ceil），子类（1:1）继承父类并设置具体限制（如1Mbps）。
```
sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 1mbit ceil 1mbit
```
添加过滤器：
通过u32模块匹配特定流量（如源IP192.168.1.100），将其分配到对应的类（1:1）。
```
sudo tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip src 192.168.1.100 flowid 1:1
```

说明：rate为保证带宽，ceil为最大允许带宽（突发流量上限）。监控规则效果可使用tc -s qdisc ls dev eth0。

3. 使用nftables实现带宽限制

nftables是iptables的下一代替代工具，语法更简洁，支持更丰富的流量匹配（如meter、quota）。适用于需要高性能或复杂规则的场景。
示例命令：

限制HTTP（端口80）出站带宽为1Mbps：
使用meter统计流量，超过rate 1mbit时触发drop（或log）。

sudo nft add table inet filter
sudo nft add chain inet filter output { type filter hook output priority 0; policy accept; }
sudo nft add rule inet filter output meta l4proto tcp dport 80 meter http_meter { ip saddr limit rate 1mbit } drop

限制特定IP（192.168.1.100）的入站带宽：
使用quota限制总流量（如100MB），超出后拒绝。

sudo nft add table inet filter
sudo nft add chain inet filter input { type filter hook input priority 0; policy accept; }
sudo nft add rule inet filter input ip saddr 192.168.1.100 meter bw_quota { bytecount 100mb } drop

说明：meter用于流量统计，limit rate设置速率限制，quota设置总流量配额。持久化规则需导出到/etc/nftables.conf并启用服务（sudo systemctl enable --now nftables）。

4. 使用wondershaper简化带宽限制

wondershaper是基于tc的脚本工具，简化了常用带宽限制场景（如限制上下行速度）的配置，适用于快速部署。
步骤详解：

安装工具：
```
sudo apt install wondershaper
```
限制带宽：
eth0为目标接口，1000为下载速度（KB/s），500为上传速度（KB/s）。
```
sudo wondershaper eth0 1000 500
```
清除限制：
```
sudo wondershaper clear eth0
```

说明：wondershaper自动创建HTB队列和过滤器，适合非技术人员快速配置。

注意事项

权限要求：所有操作需root权限（使用sudo）。
持久化配置：iptables规则需保存到/etc/iptables/rules.v4；nftables规则需导出到/etc/nftables.conf并启用服务；tc规则需添加到启动脚本（如/etc/rc.local）。
测试验证：生产环境使用前，建议在测试环境验证规则效果，避免误操作导致网络中断。

0 赞

0 踩