openwrt多wan限上下行速脚本,基于qosv4,imq模块替换成ifb模块[ZT]

转自： http://www.right.com.cn/forum/thread-169414-1-1.html ，本人未经测试，转来自已备用

由于树莓派2装openwrt官方没有imq模块, 好像说ifb比较有优势,优势对于普通玩家来说,没用~.
百度翻遍各种文档,总算凑合起来可以用.有问题再提出来讨论,欢迎测试.
有些参数是写死在脚本里面,因为暂时设了htb的带宽不可借用的,所以大小好像没关系.
all_wan_down_speed=1500
all_wan_up_speed=50

脚本如下:
#!/bin/sh
#copyright by zhoutao0712 modify lynatgz  @2015.07.12

. /lib/functions.sh

#装载核心模块
load_modules(){
    #insmod imq numdevs=2
    #ifb模块 代替 imq模块
    insmod ifb
    insmod cls_fw
    insmod sch_hfsc
    insmod sch_sfq
    insmod sch_red
    insmod sch_htb
    insmod sch_prio
    insmod xt_multiport
    insmod xt_CONNMARK
    insmod xt_length
    insmod xt_hashlimit
    insmod cls_u32
    insmod xt_connlimit
    insmod xt_connbytes
    echo "" > ${qosv4_tmp_pach}/insmod
}

bak(){
<<!
#必需在函数里面才能多行注释!
        ##sfq 随机公平队列,参数perturb 12秒后重新配置一次散列算法(默认为10). quantum 每轮当前的class能发送的字节数
        #队列 hadnle 编号为 $RULE_ID$IP4 (后面没有用到这条队列!)
        #tc qdisc add dev ifb0 parent 1RULE_ID$IP4 handle $RULE_ID$IP4 sfq perturb 12 quantum 2000
!
}

qos_stop(){
    #for iface in $(tc qdisc show | grep htb | awk '{print $5}'); do
    for iface in $(tc qdisc show | awk '{print $5}'); do
        #ifconfig的所有网卡
        tc qdisc del dev "$iface" root
    done

    #删链重建.NEW meaning that the packet has started a new connection, or otherwise associated with a connection which has not seen packets in both directions
    iptables -t mangle -D PREROUTING -m state --state NEW -j NEWLMT

    #删除旧规则
    iptables -t mangle -D NEWLMT -i pppoe+ -j RETURN
    iptables -D FORWARD -o pppoe+ -p udp -j UDPLMT
    iptables -t mangle -D FORWARD -i pppoe+ -j QOSDOWN
    iptables -t mangle -D POSTROUTING -o pppoe+ -j QOSUP

    #清空链规则
    iptables -t mangle -F QOSDOWN
    iptables -t mangle -F QOSUP
    iptables -t mangle -F NEWLMT
    iptables -F UDPLMT
    #iptables -t mangle -F PUNISH0

    #-X --delete-chain 删除链
    iptables -t mangle -X QOSDOWN
    iptables -t mangle -X QOSUP
    iptables -t mangle -X NEWLMT
    iptables -X UDPLMT
    #iptables -t mangle -X PUNISH0

    [ -f ${qosv4_tmp_pach}/connlimit ] && {
        sh ${qosv4_tmp_pach}/connlimit
        echo "" > ${qosv4_tmp_pach}/connlimit
    }
    echo "QOS DELETE DONE";echo ""
}

#创建QOS专用链
qos_start(){
    #删除各种链
    qos_stop

    #新建链NEWLMT, 用于新建连接控制  -N --new-chain
    iptables -t mangle -N NEWLMT

    #PREROUTING下一规则NEWLMT, 当匹配到新建链接全部入NEWLMT链规则
    iptables -t mangle -I PREROUTING -m state --state NEW -j NEWLMT

    #放行本地地址访问局域网
    iptables -t mangle -A NEWLMT -s $(uci get network.lan.ipaddr)/24 -d $(uci get network.lan.ipaddr)/24 -j RETURN
    #放行upd端口53,67,68,1900 53端口为DNS端口,67和68是DHCP端口,
    iptables -t mangle -A NEWLMT -p udp -m multiport --dports 53,67,68,1900 -j RETURN
    #udp链接数超过100的包丢弃
    iptables -t mangle -A NEWLMT -p udp -m connlimit --connlimit-above 120 -j DROP
    #点对点的tcp握手包链接数超过200的包丢弃, 握手包SYN、ACK、FIN.connlimit: Allows you to restrict the number of parallel connections  to  a  server  per  client  IP address
    iptables -t mangle -A NEWLMT -p tcp --syn -m connlimit --connlimit-above 200 -j DROP
    #为每个源IP(收与发)建立匹配项, 产生速度25/s, 放行匹配的数据包, 超过速率的就可能丢弃了
    iptables -t mangle -A NEWLMT -m hashlimit --hashlimit-name newlmt --hashlimit-mode srcip --hashlimit 40 -j RETURN
    #限制tcp 80端口的请求包低于25/秒
    iptables -t mangle -A NEWLMT -p tcp --dport 80 -m limit --limit 40 -j RETURN
    #其他全部丢弃
    iptables -t mangle -A NEWLMT -j DROP
    #NEWLMT -I 插入首规则: 当网卡N收到数据, 回原路PREROUTING. 对端发起连接时,放行
    iptables -t mangle -I NEWLMT -i pppoe+ -j RETURN

    #新建链 UDPLMT, 用于控制udp, 不指定则入filter表
    iptables -N UDPLMT
    #为每个源IP(收与发)建立匹配项, 产生速度120/s, 放行匹配的数据包, 超过速率的就可能丢弃了
    iptables -A UDPLMT -m hashlimit --hashlimit-name udplmt --hashlimit-mode srcip --hashlimit 120 -j RETURN
    #限制udp 30, 8000端口的请求包低于30/秒
    iptables -A UDPLMT -p udp -m multiport --dports 53,8000 -m limit --limit 30 -j RETURN
    #其他全部丢弃
    iptables -A UDPLMT -j DROP
    #FORWARD -I 插入首规则:当网卡N发送数据udp, 入UDPLMT,
    iptables -I FORWARD -o pppoe+ -p udp -j UDPLMT

    iptables -t mangle -N QOSDOWN
    iptables -t mangle -N QOSUP
    #FORWARD -I 插入首规则:当网卡N收到数据, 入QOSDOWN    #INPUT 可能是访问路由的, 不限制路由自身下行
    iptables -t mangle -I FORWARD -i pppoe+ -j QOSDOWN
    #FORWARD -I 插入首规则:当网卡N发送数据, 入QOSUP
    iptables -t mangle -I POSTROUTING -o pppoe+ -j QOSUP

<<!
    #小包不进入后面的打标记,小包不进入tc限速
!
    #放下行upd外部端口为53的, 53端口为DNS端口
    iptables -t mangle -A QOSDOWN -p udp --sport 53 -j RETURN
    #放上行upd外部端口为53的,53端口为DNS端口
    iptables -t mangle -A QOSUP -p udp --dport 53 -j RETURN
    #放下行tcp 不是初始包, 长度0:100字节的
    iptables -t mangle -A QOSDOWN -p tcp ! --syn -m length --length :100 -j RETURN
    #放上行tcp 不是初始包, 长度0:80字节的
    iptables -t mangle -A QOSUP -p tcp ! --syn -m length --length :80 -j RETURN

    #以下3条规则是一起生效的
    # iptables -t mangle -A PREROUTING -p tcp -m connmark ! --mark 80 -m web --path ".exe$ .rar$ .iso$ .zip$ .rm$ .rmvb$ .wma$ .avi$" -j CONNMARK --set-mark 80
    #connmark连接打标记, mask为80的, 设置连接mark为80
    #iptables -t mangle -A QOSDOWN -m connmark --mark 80 -j MARK --set-mark 80
    #iptables -t mangle -A QOSUP -m connmark --mark 80 -j MARK --set-mark 80

<<!
    #大包作特殊标记
!
    #QOSDOWN tcp包长度0:768字节的,下一规则为MARK,标记为255(配合TC做QOS流量限制或应用策略路由)
    #iptables -t mangle -A QOSDOWN -p tcp -m length --length :768 -j MARK --set-mark 255
    #QOSUP tcp包长度0:512字节的,下一规则为MARK,标记为255(配合TC做QOS流量限制或应用策略路由)
    #iptables -t mangle -A QOSUP -p tcp -m length --length :512 -j MARK --set-mark 255

    ##CONNBYTES模块
    ##tcp 80,443,25,110 QOSDOWN下一规则为CONNBYTES, 可能这一写法是错误的
    #iptables -t mangle -A QOSDOWN -p tcp -m multiport --sports 80,443,25,110 -j CONNBYTES
    #iptables -t mangle -A QOSUP -p tcp -m multiport --dports 80,443,25,110 -j CONNBYTES

    ##--connbytes 1:200 match packets from a connection whose packets/bytes/average packet size is more than FROM and less than TO bytes/packets
    ##QOSUP tcp 80,443,25,110 端口 双向的数据达到 0:51200字节, 下一规则为MARK,标记为254
    #iptables -t mangle -A QOSUP -p tcp -m multiport --sports 80,443,25,110  -m connbytes  --connbytes :51200 --connbytes-dir both --connbytes-mode bytes -j MARK --set-mark 254
    ##QOSDOWN tcp 80,443,25,110 端口 双向的数据达到 0:102400字节, 下一规则为MARK,标记为254
    #iptables -t mangle -A QOSDOWN -p tcp -m multiport --sports 80,443,25,110 -m connbytes  --connbytes :102400 --connbytes-dir both --connbytes-mode bytes -j MARK --set-mark 254

    #http://segmentfault.com/a/1190000000666869
    #http://blog.chinaunix.net/uid-7396260-id-3294466.html
    #http://it.chinawin.net/internet/article-24b44.html
    #http://www.cnblogs.com/endsock/archive/2011/12/09/2281519.html
    #tc cl ad dev ifb0 缩写写法.

    #ifb0-下行控制,  ifb1-上行控制
    ifconfig ifb1 up

    #下载速度控制,限制内网网卡发送给用户的数据包速度

    #1. htb可以很容易地保证每个类别的带宽, 虽然它也允许特定的类可以突破带宽上限, 占用别的类的带宽
    #根队列规则, 把htb队列绑定到 ifb0 , 并指定了一个 handle 句柄 1: (效果1:0) 用于标识它下面的子类, 没标识的分配默认子类 9999 (默认值只是设置而已, 可以不用)
    tc qdisc add dev eth0 root handle 1: htb default 999
    tc qdisc add dev ifb1 root handle 1: htb default 999

    #2. 为队列建一个主干类, htb的主干类不能互相借用带宽, 但是一个父类的所有子类之间可以借用带宽, parent 1: 是刚才建立的 handle 1: , 父类为1:0 , 分类号 1:1
    #ceil 不配则值与rate一样, prio 0 burst 1599b cburst 1599b
    tc class add dev eth0 parent 1: classid 1:1 htb rate $((all_wan_down_speed))kbps
    tc class add dev ifb1 parent 1: classid 1:1 htb rate $((all_wan_up_speed))kbps

    #每个IP限速, 下行 & 上行
    config_foreach   get_qos_ip_limit   qos_ip

    #tc class add dev ifb0 parent 1:1 classid 1:a254 htb rate $((GLOBAL_DOWN/10))kbps ceil $((GLOBAL_DOWN*7/10))kbps quantum 8000 prio 3
    ##sfq 随机公平队列,参数perturb 12秒后重新配置一次散列算法(默认为10). quantum 每轮当前的class能发送的字节数
    #tc qdisc add dev ifb0 parent 1:a254 handle a254 sfq perturb 12 quantum 1500
    #tc filter add dev ifb0 parent 1: protocol ip prio 10 handle 254 fw flowid 1:a254
}

wan_list=$(ifconfig | grep "oint-to-Point Protocol" | cut -d" " -f1)
#所有普通IP单独限速 (暂不调用)
qos_ip_limit() {
    #传入参数: 1-limit_ip   2-DOWNLOADR 保证    3-DOWNLOADC 最大  
    #               4-UPLOADR 保证   5-UPLOADC 最大    6-ip_prio        7-tcplimit  8-udplimit
    #保存IP第4个数字
    start=$(echo $1|cut -d '-' -f1|cut -d '.' -f4)
    end=$(echo $1|cut -d '-' -f2|cut -d '.' -f4)
    #NET 保存前3个数字 192.168.1
    NET=$(echo $1|cut -d '.' -f1-3)
    #记录在处理第几条规则
    RULE_ID=$((RULE_ID+1))
    echo "QOS_IP_LIMIT  limit_ip=$1  DOWNLOADR=$2   DOWNLOADC=$3  UPLOADR=$4 UPLOADC=$5 ip_prio=$6  tcplimit=$7  udplimit=$8"
    while [ $start -le $end ]
    do
        #不足2位前面补0
        IP4=$(printf "%02x" $start)
        echo "$NET.start  end=$end  RULE_ID=$RULE_ID IP4=$IP4"

        #QOSDOWN 标记tc需要限速的包, 标记为255
        iptables -t mangle -A QOSDOWN -d $NET.$start -j MARK --set-mark $start
        #QOSUP 标记tc需要限速的包, 标记为 1255
        iptables -t mangle -A QOSUP -s $NET.$start -j MARK --set-mark $((start+1000))
        ##u32过滤器匹配ip目标地址, u32 match ip dst 10.0.0.229/32  ##防火墙标记过滤器 handle 254 fw
        #eth0 叶分类,parent 1:1能借用带宽, 不想借用,写成parent 1:, 改用主干类, 主干ceil不启作用
        tc class add dev eth0 parent 1: classid 1RULE_ID$IP4 htb rate $2kbps ceil $3kbps prio $6
        #3. 设过滤器, handle 255 fw-根据防火墙标识控制标记为 255 的包,(与 iptables, set-mark对应), 父类1:, 送到子类1RULE_ID$IP4处理
        tc filter add dev eth0 parent 1: protocol ip prio 1 handle $start fw flowid 1RULE_ID$IP4

        #ifb1 叶分类,parent 1:1能借用带宽, 不想借用,写成parent 1:, 改用主干类
        tc class add dev ifb1 parent 1: classid 1RULE_ID$IP4 htb rate $4kbps ceil $5kbps prio $6
        tc filter add dev ifb1 parent 1: protocol ip prio 1 handle $((start+1000)) fw flowid 1:$RULE_ID$IP4

        for pppoe_ifconfig in $wan_list;
        do
            #pppoe 重定向到 ifb0    #redirect 会进入blackhole
            [ -z $init ] && {
                tc qdisc add dev $pppoe_ifconfig root handle 1: htb default 999
            }
            tc class add dev $pppoe_ifconfig parent 1: classid 1:$RULE_ID$IP4 htb rate $4kbps ceil $5kbps prio $6
            tc filter add dev $pppoe_ifconfig parent 1: protocol ip prio 1 handle $((start+1000)) fw flowid 1:$RULE_ID$IP4 action mirred egress mirror dev ifb1
        done
        init=1

        #tc class add dev ifb1 parent 1: classid 1:$RULE_ID$IP4 htb rate $4kbps ceil $5kbps prio $6
        #tc filter add dev ifb1 parent 1: protocol ip prio 1 u32 match ip src $NET.$start flowid 1:$RULE_ID$IP4

<<!
        #TCP UDP 连接数限制
        [ "$7" != "0" ] && {
            echo "iptables -t mangle -D FORWARD -p tcp -d $NET.$start -m connlimit --connlimit-above $7 -j DROP" >> $qosv4_tmp_pach/connlimit
            iptables -t mangle -A FORWARD -p tcp -d $NET.$start -m connlimit --connlimit-above $7 -j DROP
        }
        [ "$8" != "0" ] && {
            echo "iptables -t mangle -D FORWARD -p udp -d $NET.$start -m connlimit --connlimit-above $8 -j DROP" >> $qosv4_tmp_pach/connlimit
            iptables -t mangle -A FORWARD -p udp -d $NET.$start -m connlimit --connlimit-above $8 -j DROP
        }
!
        start=$((start+1))
    done
}

#没有配置限速的IP, 设置默认规则
qos_default_limit(){
    tc class add dev ifb1 parent 1:1 classid 1:999 htb rate 8kbps ceil 12kbps prio 7
    tc class add dev ifb0 parent 1:1 classid 1:999 htb rate 250kbps ceil 300kbps prio 7
}

#QOS白名单
qos_white(){
    #192.168.1.8,192.168.1.80-192.168.1.90有zhoutao0712发放的免死金牌
    #iptables -t mangle -I PUNISH0 -m iprange --src-range 192.168.1.80-192.168.1.90 -j RETURN
    iptables -t mangle -I PUNISH0 -s $nolimit_ip -j RETURN
}

<<!
    config qos_settings
        option UP '100'
        option UPLOADR2 '1'
        option UPLOADC2 '5'
        option DOWNLOADR2 '1'
        option DOWNLOADC2 '2'
        option DOWNLOADR '50'
        option UPLOADR '20'
        option qos_scheduler '0'
        option DOWN '2600'
        option enable '0'
!
#读取总网速配置
get_qos_config(){
    config_get GLOBAL_ENABLE $1 enable
    config_get GLOBAL_UP $1 UP
    config_get GLOBAL_DOWN $1 DOWN
    #config_get GLOBAL_UPLOADR2 $1 UPLOADR2
    #config_get GLOBAL_UPLOADC2 $1 UPLOADC2
    #config_get GLOBAL_DOWNLOADR2 $1 DOWNLOADR2
    #config_get GLOBAL_DOWNLOADC2 $1 DOWNLOADC2
    #config_get qos_scheduler $1 qos_scheduler
    echo "get_qos_config: GLOBAL_ENABLE=$GLOBAL_ENABLE GLOBAL_UP=$GLOBAL_UP  GLOBAL_DOWN=$GLOBAL_DOWN"
}


<<!
    config qos_ip
        option enable '1'
        option limit_ips '192.168.1.12'
        option limit_ipe '192.168.1.19'
        option UPLOADR '10'  保证
        option UPLOADC '16'  最大
        option DOWNLOADR '150'  保证
        option DOWNLOADC '2200'  最大
        option tcplimit '0'
        option udplimit '0'
        option ip_prio '5'
!
#循环读取每条IP限速规则, 并调用限速
get_qos_ip_limit(){
    config_get qos_limit_enable $1 enable
    config_get limit_ips $1 limit_ips
    config_get limit_ipe $1 limit_ipe
    config_get ip_prio $1 ip_prio
    config_get UPLOADC $1 UPLOADC
    config_get DOWNLOADC $1 DOWNLOADC
    config_get UPLOADR $1 UPLOADR
    config_get DOWNLOADR $1 DOWNLOADR
    config_get tcplimit $1 tcplimit
    config_get udplimit $1 udplimit
    limit_ip=$limit_ips-$limit_ipe

    #echo "get_qos_ip_limit: enable=$qos_limit_enable limit_ips=$limit_ips  limit_ipe=$limit_ipe ip_prio=$ip_prio UPLOADC=$UPLOADC DOWNLOADC=$DOWNLOADC"
    #放在这里调用是因为foreach循环调用
    [ "$qos_limit_enable" == "1" ] && qos_ip_limit $limit_ip $DOWNLOADR $DOWNLOADC $UPLOADR $UPLOADC $ip_prio $tcplimit $udplimit
}

<<!
    config 'qos_nolimit_ip'
        option 'nolimit_ip' '192.168.1.1'
        option 'nolimit_mac' '00:00:00:00:00'
        option 'enable' '0'
!
#读取不限制ip和mac
get_qos_nolimit_ip(){
    config_get enable $1 enable
    config_get nolimit_ip $1 nolimit_ip
    config_get nolimit_mac $1 nolimit_mac
    [ "$enable" == "1" ]&&printf "|grep -v  $nolimit_mac " >>${qosv4_tmp_pach}/qosv4_nolimit_mac
}

usage() {
cat << EOF
    Usage: $0 [start|stop]
EOF
    exit 1
}

#lan_net
#单位: kbps--千字节/s
all_wan_down_speed=1500
all_wan_up_speed=50
#each_wan_up_speed=30
qosv4_tmp_pach="/tmp/qosv4"
[ -d $qosv4_tmp_pach ] || mkdir -p ${qosv4_tmp_pach}
case $1 in
    start)
        config_load qosv4
        echo "start qosv4........"
        rm -rf ${qosv4_tmp_pach}/qosv4_nolimit_mac
        config_foreach   get_qos_config   qos_settings
        #GLOBAL_ENABLE=1
        echo "qosv4 enable=$GLOBAL_ENABLE "
        if [ "$GLOBAL_ENABLE" == "1" ];then
            #存在insmod文件表示已经加载过了
            [ -f ${qosv4_tmp_pach}/insmod ] || load_modules >/dev/null 2>&1
            qos_start
            #qos_default_limit
            #QOS白名单
            #config_foreach   get_qos_nolimit_ip   qos_nolimit_ip
            #qos_white
        else
            echo "ENABLE = 0.";echo ""
            qos_stop
        fi
        ;;
    stop)
        qos_stop
        #qos_stop >/dev/null 2>&1
        ;;
    *) usage;;
esac