Я использую nat DNAT для перенаправления трафика через определенный порт на другой сервер Centos через туннель GRE, однако я хочу ограничить скорость группы IP-адресов центров обработки данных, которые у меня есть в «черном списке» ipset. Таким образом, трафик, выходящий в туннель, ограничен по скорости.
Я пробовал ограничение скорости во всех списках FORWARD, INPUT и OUTPUT, однако ограничение скорости вообще не работает ни в одном из них - может быть, nat DNAT обходит его?
iptables -A INPUT -m set --match-set blacklist src -p udp --dport 30000 -m hashlimit --hashlimit 10/min --hashlimit-name ratelimithash -j DROP
iptables -A FORWARD -m set --match-set blacklist src -p udp --dport 30000 -m hashlimit --hashlimit 10/min --hashlimit-name ratelimithash -j DROP
iptables -A ВЫВОД -m set --match-set blacklist src -p udp --dport 30000 -m hashlimit --hashlimit 10/min --hashlimit-name ratelimithash -j DROP
Если я добавлю список для сброса через «iptables -A OUTPUT -m set --match-set blacklist src -j DROP», он остановит весь трафик, поэтому мой список IP-адресов работает, но не ограничивает скорость, любой может помочь ?
вывод iptables:
вывод iptables
Выход NAT iptables:
вывод iptables nat
правила iptables
#!/бин/ш
iptables-F
sudo iptables -t nat -F
iptables -t физ -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -t сырой -F
sudo iptables -t сырой -X
sudo iptables -t безопасность -F
sudo iptables -t безопасность -X
судо iptables-F
судо iptables-X
sudo iptables -P ВВОД ПРИНЯТЬ
sudo iptables -P ПЕРЕДАТЬ ПРИНЯТЬ
sudo iptables -P ВЫВОД ПРИНЯТЬ
iptables -A ВВОД -i lo -j ПРИНЯТЬ
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate НОВЫЙ, УСТАНОВЛЕННЫЙ -j ПРИНЯТЬ
sudo iptables -A ВЫВОД -p tcp --sport 22 -m conntrack --ctstate УСТАНОВЛЕНО -j ПРИНЯТЬ
iptables -A INPUT -m set --match-set blacklist src -p udp --dport 30000 -m hashlimit --hashlimit 10/min --hashlimit-name ratelimithash -j DROP
iptables -A FORWARD -m set --match-set blacklist src -p udp --dport 30000 -m hashlimit --hashlimit 10/min --hashlimit-name ratelimithash -j DROP
iptables -A ВЫВОД -m set --match-set blacklist src -p udp --dport 30000 -m hashlimit --hashlimit 10/min --hashlimit-name ratelimithash -j DROP
iptables -t nat -A POSTOUTING -s 192.168.168.0/30 ! -o gre+ -j SNAT --к источнику 20&&&&&&&&&&&&&
iptables -A ВВОД -s 192.168.168.2/32 -j ПРИНЯТЬ
iptables -I ВВОД -m состояние --state УСТАНОВЛЕНО,СВЯЗАННО -j ПРИНЯТЬ
iptables -A ВВОД -p gre -j ПРИНЯТЬ
iptables -A ВЫВОД -p gre -j ПРИНЯТЬ
iptables -t nat -A PREROUTING -d 20&&&&&&&&&&&&& -p udp --dport 30000 -j DNAT --назначение 192.168.168.2
iptables -A ВЫВОД -j DROP
iptables -P ВХОД DROP
