null - 程序员宅基地

优化你的 netfilter/iptables 网关_netfilter masquerade-程序员宅基地

netfilter/iptables 是Linux内核集成的 IP 数据包过滤系统，它由 netfilter 和 iptables 两个组件组成。其中 netfilter 是工作在内核空间，由许多Hook函数组成，根据“规则”控制数据包并做相应的处理，而 iptables 则是用户空间的一个工具，用于操作规则的（操作netfilter的Hook函数），但很多时候我们直接简称为iptables了。

netfilter的流程图，复习下吧！

iptables 的文章网上一搜一大把，我就不重复了，这里只介绍下如何优化你的网关。

一、SNAT 和 MASQUERADE 的区别

SNAT 是明确指定修改的源地址，而 MASQUERADE 会自动获取出口接口（根据路由表）的 IP 地址。性能方面比 SNAT 几乎忽略不计，而无需明确指定 IP 地址，所以在 DHCP 和 PPPOE 的动态 IP 环境下使用特别方面。

Code example:

iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE

Code example:
1	`iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE`

Code example:

iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-
source
 $IP

Code example:
1	`iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-` `source` `$IP`

二、DNAT 和 REDIRECT 的区别

这组动作和上面的刚好相反，是用来修改目的地址的。DNAT 是明确指定修改的目的地址，而 REDIRECT 会把要转发的包的目的地址改写为入口接口的 IP 地址。

Code example:

iptables -t nat -A PREROUTING -i $WAN-p tcp --dport 80 -j REDIRECT --to-ports 3128

Code example:
1	`iptables -t nat -A PREROUTING -i $WAN-p tcp --dport 80 -j REDIRECT --to-ports 3128`

Code example:

iptables -t nat -A PREROUTING -i $WAN -p tcp --dport 80 -j DNAT --to-destination $IP --to-ports 3128

Code example:
1	`iptables -t nat -A PREROUTING -i $WAN -p tcp --dport 80 -j DNAT --to-destination $IP --to-ports 3128`

三、内核相关参数优化

参数	描述	影响
/proc/sys/net/netfilter/nf_conntrack_max	默认65536，同时这个值和你的内存大小有关，如果内存128M，这个值最大8192，1G以上内存这个值都是默认65536	这个值决定了你作为网关的工作能力上限，所有局域网内通过这台网关对外的连接都将占用一个连接，设置为 PC * 100 就OK了。
/proc/sys/net/netfilter/nf_conntrack_buckets	存储 conntrack 条目哈希表的大小	这个参数与nf_conntrack_max有关，建议设在为 conntrack * 8
/proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established	已建立的tcp连接的超时时间。默认432000，也就是5天，建议设置为2个小时	这个值过大将导致一些可能已经不用的连接常驻于内存中，占用大量链接资源，从而可能导致NAT ip_conntrack: table full的问题。
/proc/sys/net/ipv4/ip_local_port_range	本地开放端口范围，默认：32768-61000，建议修改为：11000-61000	这个范围同样会间接限制NAT表规模
/proc/sys/net/core/netdev_max_backlog	进入包的最大设备队列，对网关而言可调整到1000	这个参数与性能没有关系，但可以平衡下短暂的突发报文
ulimit -HSn 65536	一般不用修改这个参数，当出现table full错误时可以修改为更大的值

四、DNS强制缓存

在网关机器上面安装并正确配置 bind9 或 dnsmasq，然后修改网关机器的 DNS 为 127.0.0.1，最后 REDIRECT 啦！这样不管网络中的主机设置什么样DNS，都会被强制重定向至网关获取，从而起到缓存 DNS 的作用。

Code example:

iptables -t nat -A PREROUTING -i $LAN -p udp --dport 53 -j REDIRECT

Code example:
1	`iptables -t nat -A PREROUTING -i $LAN -p udp --dport 53 -j REDIRECT`

五、WEB透明代理

和“DNS强制缓存”的原理一样，在网关上面安装 squid3，强制缓存 WEB 数据啦！

Code example:

iptables -t nat -A PREROUTING -i $LAN -p tcp --dport 80 -j REDIRECT --to-ports 3128

Code example:
1	`iptables -t nat -A PREROUTING -i $LAN -p tcp --dport 80 -j REDIRECT --to-ports 3128`

配置 squid3 时，一定要修改为透明代理模式（transparent）：

http_port 3128 transparent

六、流量列队控制，保证优先级高的报文的带宽分配

建立流量管理列队，保证优先级高的报文带宽分配和优先发送。这和你的网络环境有关，办公网络一般是HTTP报文优先，而游戏和网吧厅应该让 tcp 小包优先，因为游戏报文一般都是 tcp 小包。具体参数自己抓包然后进行协议分析吧！

案例：
外线接入10M带宽，主要是HTTP报文优先，我一共建立里4个类别。
tc列队配置：

Code example:

#!/usr/bin/env sh

tc qdisc del dev WAN root 2>
/dev/null

tc qdisc add dev WAN root handle 1: htb default 4

tc class add dev WAN parent 1: classid 1:1 htb rate 512kbit ceil 1mbit

tc class add dev WAN parent 1: classid 1:2 htb rate 512kbit ceil 1mbit

tc class add dev WAN parent 1: classid 1:3 htb rate 3mbit ceil 6mbit

tc class add dev WAN parent 1: classid 1:4 htb rate 6mbit ceil 8mbit

tc filter add dev WAN parent 1: prio 1 handle 1 fw classid 1:1

tc filter add dev WAN parent 1: prio 2 handle 2 fw classid 1:2

tc filter add dev WAN parent 1: prio 3 handle 3 fw classid 1:3

tc filter add dev WAN parent 1: prio 4 handle 4 fw classid 1:4

Code example:
1 2 3 4 5 6 7 8 9 10 11 12 13 14	`#!/usr/bin/env sh` `tc qdisc del dev WAN root 2>` `/dev/null` `tc qdisc add dev WAN root handle 1: htb default 4` `tc class add dev WAN parent 1: classid 1:1 htb rate 512kbit ceil 1mbit` `tc class add dev WAN parent 1: classid 1:2 htb rate 512kbit ceil 1mbit` `tc class add dev WAN parent 1: classid 1:3 htb rate 3mbit ceil 6mbit` `tc class add dev WAN parent 1: classid 1:4 htb rate 6mbit ceil 8mbit` `tc filter add dev WAN parent 1: prio 1 handle 1 fw classid 1:1` `tc filter add dev WAN parent 1: prio 2 handle 2 fw classid 1:2` `tc filter add dev WAN parent 1: prio 3 handle 3 fw classid 1:3` `tc filter add dev WAN parent 1: prio 4 handle 4 fw classid 1:4`

然后使用 iptables 的 mangle 表进行报文标记：

Code example:

iptables -t mangle -N 0x1

iptables -t mangle -N 0x2

iptables -t mangle -N 0x3

iptables -t mangle -N 0x4

iptables -t mangle -A 0x1 -j MARK --
set
-mark 0x1

iptables -t mangle -A 0x1 -j ACCEPT

iptables -t mangle -A 0x2 -j MARK --
set
-mark 0x2

iptables -t mangle -A 0x2 -j ACCEPT

iptables -t mangle -A 0x3 -j MARK --
set
-mark 0x3

iptables -t mangle -A 0x3 -j ACCEPT

iptables -t mangle -A 0x4 -j MARK --
set
-mark 0x4

iptables -t mangle -A 0x4 -j ACCEPT

iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp --tcp-flags SYN,ACK SYN -j 0x1

iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 53 -j 0x1

iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 5060 -j 0x2

iptables -t mangle -A PREROUTING -i LAN -p icmp -j 0x2

iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp -m length --length 0:1460 -j 0x3

iptables -t mangle -A PREROUTING -i LAN -j 0x4

Code example:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18	`iptables -t mangle -N 0x1` `iptables -t mangle -N 0x2` `iptables -t mangle -N 0x3` `iptables -t mangle -N 0x4` `iptables -t mangle -A 0x1 -j MARK --` `set` `-mark 0x1` `iptables -t mangle -A 0x1 -j ACCEPT` `iptables -t mangle -A 0x2 -j MARK --` `set` `-mark 0x2` `iptables -t mangle -A 0x2 -j ACCEPT` `iptables -t mangle -A 0x3 -j MARK --` `set` `-mark 0x3` `iptables -t mangle -A 0x3 -j ACCEPT` `iptables -t mangle -A 0x4 -j MARK --` `set` `-mark 0x4` `iptables -t mangle -A 0x4 -j ACCEPT` `iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp --tcp-flags SYN,ACK SYN -j 0x1` `iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 53 -j 0x1` `iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 5060 -j 0x2` `iptables -t mangle -A PREROUTING -i LAN -p icmp -j 0x2` `iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp -m length --length 0:1460 -j 0x3` `iptables -t mangle -A PREROUTING -i LAN -j 0x4`

本文链接：https://blog.csdn.net/jasonzeng/article/details/49027887

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

java 实现数据库备份_java数据备份-程序员宅基地

文章浏览阅读1k次。数据库备份的方法第一种：使用mysqldump结合exec函数进行数据库备份操作。第二种：使用php+mysql+header函数进行数据库备份和下载操作。下面 java 实现数据库备份的方法就是第一种首先我们得知道一些mysqldump的数据库备份语句备份一个数据库格式：mysqldump -h主机名 -P端口 -u用户名 -p密码 --database 数据库名 ..._java数据备份

window10_ffmpeg调试环境搭建-编译64位_win10如何使用mingw64编译ffmpeg-程序员宅基地

文章浏览阅读3.4k次，点赞2次，收藏14次。window10_ffmpeg调试环境搭建_win10如何使用mingw64编译ffmpeg

《考试脑科学》_考试脑科学pdf百度网盘下载-程序员宅基地

文章浏览阅读6.3k次，点赞9次，收藏14次。给大家推荐《考试脑科学》这本书。作者介绍：池谷裕二，日本东京大学药学系研究科教授，脑科学研究者。1970年生于日本静冈县，1998年取得日本东京大学药学博士学位，2002年起担任美国哥伦比亚大学客座研究员。专业为神经科学与药理学，研究领域为人脑海马体与大脑皮质层的可塑性。现为东京大学药学研究所教授，同时担任日本脑信息通信融合研究中心研究主任，日本药理学会学术评议员、ERATO人脑与AI融合项目负责人。2008年获得日本文部大臣表彰青年科学家奖，2013年获得日本学士院学术奖励奖。这本书作者用非常通俗易懂_考试脑科学pdf百度网盘下载

今天给大家介绍一下华为智选手机与华为手机的区别_华为智选手机和华为手机的区别-程序员宅基地

文章浏览阅读1.4k次。其中，成都鼎桥通信技术有限公司是一家专业从事移动通讯终端产品研发和生产的高科技企业，其发布的TD Tech M40也是华为智选手机系列中的重要代表之一。华为智选手机是由华为品牌方与其他公司合作推出的手机产品，虽然其机身上没有“华为”标识，但是其品质和技术水平都是由华为来保证的。总之，华为智选手机是由华为品牌方和其他公司合作推出的手机产品，虽然外观上没有“华为”标识，但其品质和技术水平都是由华为来保证的。华为智选手机采用了多种处理器品牌，以满足不同用户的需求，同时也可以享受到华为全国联保的服务。_华为智选手机和华为手机的区别

c++求n个数中的最大值_n个数中最大的那个数在哪里?输出其位置,若有多个最大数则都要输出。-程序员宅基地

文章浏览阅读7.6k次，点赞6次，收藏17次。目录题目描述输入输出代码打擂法数组排序任意输入n个整数，把它们的最大值求出来.输入只有一行，包括一个整数n(1_n个数中最大的那个数在哪里?输出其位置,若有多个最大数则都要输出。

python overflowerror_python – 是否真的引发了OverflowError？-程序员宅基地

文章浏览阅读520次。Python 2.7.2 (v2.7.2:8527427914a2, Jun 11 2011, 15:22:34)[GCC 4.2.1 (Apple Inc. build 5666) (dot 3)] on darwinType "help", "copyright", "credits" or "license" for more information.>>> float(1...

随便推点

Android面试官，面试时总喜欢挖基础坑，整理了26道面试题牢固你基础！(3)-程序员宅基地

文章浏览阅读795次，点赞20次，收藏15次。AIDL是使用bind机制来工作。java原生参数Stringparcelablelist & map 元素需要支持AIDL其实Android开发的知识点就那么多，面试问来问去还是那么点东西。所以面试没有其他的诀窍，只看你对这些知识点准备的充分程度。so，出去面试时先看看自己复习到了哪个阶段就好。下图是我进阶学习所积累的历年腾讯、头条、阿里、美团、字节跳动等公司2019-2021年的高频面试题，博主还把这些技术点整理成了视频和PDF（实际上比预期多花了不少精力），包含知识脉络 + 诸多细节。

机器学习-数学基础02补充_李孟_新浪博客-程序员宅基地

文章浏览阅读248次。承接：数据基础02

短沟道效应 & 窄宽度效应 short channel effects & narrow width effects-程序员宅基地

文章浏览阅读2.8w次，点赞14次，收藏88次。文章目录1. 概念：Narrow Width Effect: 窄宽度效应Short Channel effects：短沟道效应阈值电压（Threshold voltage）2. 阈值电压与沟道长和沟道宽的关系：Narrow channel 窄沟的分析Short channel 短沟的分析1. 概念：Narrow Width Effect: 窄宽度效应在CMOS器件工艺中，器件的阈值电压Vth 随着沟道宽度的变窄而增大，即窄宽度效应；目前，由于浅沟道隔离工艺的应用，器件的阈值电压 Vth 随着沟道宽度_短沟道效应

小米组织架构再调整，王川调职，雷军自任中国区总裁_小米更换硬件负责人-程序员宅基地

文章浏览阅读335次。5月17日，小米集团再发组织架构调整及任命通知。新通知主要内容为前小米中国区负责人王川调职，雷军自任中国区总裁。小米频繁调整背后，雷军有些着急了中国区手机业务持续下滑。根据IDC最近公布的数据，小米一季度全球出货量为2750万台，相比去年同期的2780万台，小幅下降。参考Canalys、Counterpoint的统计，小米一季度出货量也都录得1%的同比下滑。作为对比，IDC数据显示，华为同期出..._小米更换硬件负责人

JAVA基础学习大全（笔记）_java学习笔记word-程序员宅基地

文章浏览阅读9.1w次。JAVASE和JAVAEE的区别JDK的安装路径[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-perPRPgq-1608641067105)(C:\Users\王东梁\AppData\Roaming\Typora\typora-user-images\image-20201222001641906.png)]卸载和安装JDK[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-SYnXvbAn-1608641067107)(C:\Users_java学习笔记word

vue-echarts饼图/柱状图点击事件_echarts 饼图点击事件-程序员宅基地

文章浏览阅读7.8k次，点赞2次，收藏17次。在实际的项目开发中，我们通常会用到Echarts来对数据进行展示，有时候需要用到Echarts的点击事件，增加系统的交互性，一般是点击Echarts图像的具体项来跳转路由并携带参数，当然也可以根据具体需求来做其他的业务逻辑。下面就Echarts图表的点击事件进行实现，文章省略了Echarts图的html代码，构建过程，option，适用的表格有饼图、柱状图、折线图。如果在实现过程中，遇到困难或者有说明好的建议，欢迎留言提问。_echarts 饼图点击事件