优化你的 netfilter/iptables 网关_netfilter masquerade-程序员宅基地

netfilter/iptables 是Linux内核集成的 IP 数据包过滤系统，它由 netfilter 和 iptables 两个组件组成。其中 netfilter 是工作在内核空间，由许多Hook函数组成，根据“规则”控制数据包并做相应的处理，而 iptables 则是用户空间的一个工具，用于操作规则的（操作netfilter的Hook函数），但很多时候我们直接简称为iptables了。

netfilter的流程图，复习下吧！

iptables 的文章网上一搜一大把，我就不重复了，这里只介绍下如何优化你的网关。

一、SNAT 和 MASQUERADE 的区别

SNAT 是明确指定修改的源地址，而 MASQUERADE 会自动获取出口接口（根据路由表）的 IP 地址。性能方面比 SNAT 几乎忽略不计，而无需明确指定 IP 地址，所以在 DHCP 和 PPPOE 的动态 IP 环境下使用特别方面。

Code example:

iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE

Code example:
1	`iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE`

Code example:

iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-
source
 $IP

Code example:
1	`iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-` `source` `$IP`

二、DNAT 和 REDIRECT 的区别

这组动作和上面的刚好相反，是用来修改目的地址的。DNAT 是明确指定修改的目的地址，而 REDIRECT 会把要转发的包的目的地址改写为入口接口的 IP 地址。

Code example:

iptables -t nat -A PREROUTING -i $WAN-p tcp --dport 80 -j REDIRECT --to-ports 3128

Code example:
1	`iptables -t nat -A PREROUTING -i $WAN-p tcp --dport 80 -j REDIRECT --to-ports 3128`

Code example:

iptables -t nat -A PREROUTING -i $WAN -p tcp --dport 80 -j DNAT --to-destination $IP --to-ports 3128

Code example:
1	`iptables -t nat -A PREROUTING -i $WAN -p tcp --dport 80 -j DNAT --to-destination $IP --to-ports 3128`

三、内核相关参数优化

参数	描述	影响
/proc/sys/net/netfilter/nf_conntrack_max	默认65536，同时这个值和你的内存大小有关，如果内存128M，这个值最大8192，1G以上内存这个值都是默认65536	这个值决定了你作为网关的工作能力上限，所有局域网内通过这台网关对外的连接都将占用一个连接，设置为 PC * 100 就OK了。
/proc/sys/net/netfilter/nf_conntrack_buckets	存储 conntrack 条目哈希表的大小	这个参数与nf_conntrack_max有关，建议设在为 conntrack * 8
/proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established	已建立的tcp连接的超时时间。默认432000，也就是5天，建议设置为2个小时	这个值过大将导致一些可能已经不用的连接常驻于内存中，占用大量链接资源，从而可能导致NAT ip_conntrack: table full的问题。
/proc/sys/net/ipv4/ip_local_port_range	本地开放端口范围，默认：32768-61000，建议修改为：11000-61000	这个范围同样会间接限制NAT表规模
/proc/sys/net/core/netdev_max_backlog	进入包的最大设备队列，对网关而言可调整到1000	这个参数与性能没有关系，但可以平衡下短暂的突发报文
ulimit -HSn 65536	一般不用修改这个参数，当出现table full错误时可以修改为更大的值

四、DNS强制缓存

在网关机器上面安装并正确配置 bind9 或 dnsmasq，然后修改网关机器的 DNS 为 127.0.0.1，最后 REDIRECT 啦！这样不管网络中的主机设置什么样DNS，都会被强制重定向至网关获取，从而起到缓存 DNS 的作用。

Code example:

iptables -t nat -A PREROUTING -i $LAN -p udp --dport 53 -j REDIRECT

Code example:
1	`iptables -t nat -A PREROUTING -i $LAN -p udp --dport 53 -j REDIRECT`

五、WEB透明代理

和“DNS强制缓存”的原理一样，在网关上面安装 squid3，强制缓存 WEB 数据啦！

Code example:

iptables -t nat -A PREROUTING -i $LAN -p tcp --dport 80 -j REDIRECT --to-ports 3128

Code example:
1	`iptables -t nat -A PREROUTING -i $LAN -p tcp --dport 80 -j REDIRECT --to-ports 3128`

配置 squid3 时，一定要修改为透明代理模式（transparent）：

http_port 3128 transparent

六、流量列队控制，保证优先级高的报文的带宽分配

建立流量管理列队，保证优先级高的报文带宽分配和优先发送。这和你的网络环境有关，办公网络一般是HTTP报文优先，而游戏和网吧厅应该让 tcp 小包优先，因为游戏报文一般都是 tcp 小包。具体参数自己抓包然后进行协议分析吧！

案例：
外线接入10M带宽，主要是HTTP报文优先，我一共建立里4个类别。
tc列队配置：

Code example:

#!/usr/bin/env sh

tc qdisc del dev WAN root 2>
/dev/null

tc qdisc add dev WAN root handle 1: htb default 4

tc class add dev WAN parent 1: classid 1:1 htb rate 512kbit ceil 1mbit

tc class add dev WAN parent 1: classid 1:2 htb rate 512kbit ceil 1mbit

tc class add dev WAN parent 1: classid 1:3 htb rate 3mbit ceil 6mbit

tc class add dev WAN parent 1: classid 1:4 htb rate 6mbit ceil 8mbit

tc filter add dev WAN parent 1: prio 1 handle 1 fw classid 1:1

tc filter add dev WAN parent 1: prio 2 handle 2 fw classid 1:2

tc filter add dev WAN parent 1: prio 3 handle 3 fw classid 1:3

tc filter add dev WAN parent 1: prio 4 handle 4 fw classid 1:4

Code example:
1 2 3 4 5 6 7 8 9 10 11 12 13 14	`#!/usr/bin/env sh` `tc qdisc del dev WAN root 2>` `/dev/null` `tc qdisc add dev WAN root handle 1: htb default 4` `tc class add dev WAN parent 1: classid 1:1 htb rate 512kbit ceil 1mbit` `tc class add dev WAN parent 1: classid 1:2 htb rate 512kbit ceil 1mbit` `tc class add dev WAN parent 1: classid 1:3 htb rate 3mbit ceil 6mbit` `tc class add dev WAN parent 1: classid 1:4 htb rate 6mbit ceil 8mbit` `tc filter add dev WAN parent 1: prio 1 handle 1 fw classid 1:1` `tc filter add dev WAN parent 1: prio 2 handle 2 fw classid 1:2` `tc filter add dev WAN parent 1: prio 3 handle 3 fw classid 1:3` `tc filter add dev WAN parent 1: prio 4 handle 4 fw classid 1:4`

然后使用 iptables 的 mangle 表进行报文标记：

Code example:

iptables -t mangle -N 0x1

iptables -t mangle -N 0x2

iptables -t mangle -N 0x3

iptables -t mangle -N 0x4

iptables -t mangle -A 0x1 -j MARK --
set
-mark 0x1

iptables -t mangle -A 0x1 -j ACCEPT

iptables -t mangle -A 0x2 -j MARK --
set
-mark 0x2

iptables -t mangle -A 0x2 -j ACCEPT

iptables -t mangle -A 0x3 -j MARK --
set
-mark 0x3

iptables -t mangle -A 0x3 -j ACCEPT

iptables -t mangle -A 0x4 -j MARK --
set
-mark 0x4

iptables -t mangle -A 0x4 -j ACCEPT

iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp --tcp-flags SYN,ACK SYN -j 0x1

iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 53 -j 0x1

iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 5060 -j 0x2

iptables -t mangle -A PREROUTING -i LAN -p icmp -j 0x2

iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp -m length --length 0:1460 -j 0x3

iptables -t mangle -A PREROUTING -i LAN -j 0x4

Code example:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18	`iptables -t mangle -N 0x1` `iptables -t mangle -N 0x2` `iptables -t mangle -N 0x3` `iptables -t mangle -N 0x4` `iptables -t mangle -A 0x1 -j MARK --` `set` `-mark 0x1` `iptables -t mangle -A 0x1 -j ACCEPT` `iptables -t mangle -A 0x2 -j MARK --` `set` `-mark 0x2` `iptables -t mangle -A 0x2 -j ACCEPT` `iptables -t mangle -A 0x3 -j MARK --` `set` `-mark 0x3` `iptables -t mangle -A 0x3 -j ACCEPT` `iptables -t mangle -A 0x4 -j MARK --` `set` `-mark 0x4` `iptables -t mangle -A 0x4 -j ACCEPT` `iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp --tcp-flags SYN,ACK SYN -j 0x1` `iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 53 -j 0x1` `iptables -t mangle -A PREROUTING -i LAN -p udp -m udp --dport 5060 -j 0x2` `iptables -t mangle -A PREROUTING -i LAN -p icmp -j 0x2` `iptables -t mangle -A PREROUTING -i LAN -p tcp -m tcp -m length --length 0:1460 -j 0x3` `iptables -t mangle -A PREROUTING -i LAN -j 0x4`

本文链接：https://blog.csdn.net/jasonzeng/article/details/49027887

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

稀疏编码的数学基础与理论分析-程序员宅基地

文章浏览阅读290次，点赞8次，收藏10次。1.背景介绍稀疏编码是一种用于处理稀疏数据的编码技术，其主要应用于信息传输、存储和处理等领域。稀疏数据是指数据中大部分元素为零或近似于零的数据，例如文本、图像、音频、视频等。稀疏编码的核心思想是将稀疏数据表示为非零元素和它们对应的位置信息，从而减少存储空间和计算复杂度。稀疏编码的研究起源于1990年代，随着大数据时代的到来，稀疏编码技术的应用范围和影响力不断扩大。目前，稀疏编码已经成为计算...

EasyGBS国标流媒体服务器GB28181国标方案安装使用文档-程序员宅基地

文章浏览阅读217次。EasyGBS - GB28181 国标方案安装使用文档下载安装包下载，正式使用需商业授权, 功能一致在线演示在线API架构图EasySIPCMSSIP 中心信令服务, 单节点, 自带一个 Redis Server, 随 EasySIPCMS 自启动, 不需要手动运行EasySIPSMSSIP 流媒体服务, 根..._easygbs-windows-2.6.0-23042316使用文档

【Web】记录巅峰极客2023 BabyURL题目复现——Jackson原生链_原生jackson 反序列化链子-程序员宅基地

文章浏览阅读1.2k次，点赞27次，收藏7次。2023巅峰极客 BabyURL之前AliyunCTF Bypassit I这题考查了这样一条链子：其实就是Jackson的原生反序列化利用今天复现的这题也是大同小异，一起来整一下。_原生jackson 反序列化链子

一文搞懂SpringCloud，详解干货，做好笔记_spring cloud-程序员宅基地

文章浏览阅读734次，点赞9次，收藏7次。微服务架构简单的说就是将单体应用进一步拆分，拆分成更小的服务，每个服务都是一个可以独立运行的项目。这么多小服务，如何管理他们？(服务治理注册中心[服务注册发现剔除])这么多小服务，他们之间如何通讯？这么多小服务，客户端怎么访问他们？(网关)这么多小服务，一旦出现问题了，应该如何自处理？(容错)这么多小服务，一旦出现问题了，应该如何排错?(链路追踪)对于上面的问题，是任何一个微服务设计者都不能绕过去的，因此大部分的微服务产品都针对每一个问题提供了相应的组件来解决它们。_spring cloud

Js实现图片点击切换与轮播-程序员宅基地

文章浏览阅读5.9k次，点赞6次，收藏20次。Js实现图片点击切换与轮播图片点击切换<!DOCTYPE html><html> <head> <meta charset="UTF-8"> <title></title> <script type="text/ja..._点击图片进行轮播图切换

tensorflow-gpu版本安装教程（过程详细）_tensorflow gpu版本安装-程序员宅基地

文章浏览阅读10w+次，点赞245次，收藏1.5k次。在开始安装前，如果你的电脑装过tensorflow，请先把他们卸载干净，包括依赖的包（tensorflow-estimator、tensorboard、tensorflow、keras-applications、keras-preprocessing），不然后续安装了tensorflow-gpu可能会出现找不到cuda的问题。cuda、cudnn。..._tensorflow gpu版本安装

随便推点

物联网时代权限滥用漏洞的攻击及防御-程序员宅基地

文章浏览阅读243次。0x00 简介权限滥用漏洞一般归类于逻辑问题，是指服务端功能开放过多或权限限制不严格，导致攻击者可以通过直接或间接调用的方式达到攻击效果。随着物联网时代的到来，这种漏洞已经屡见不鲜，各种漏洞组合利用也是千奇百怪、五花八门，这里总结漏洞是为了更好地应对和预防，如有不妥之处还请业内人士多多指教。0x01 背景2014年4月，在比特币飞涨的时代某网站曾经..._使用物联网漏洞的使用者

Visual Odometry and Depth Calculation--Epipolar Geometry--Direct Method--PnP_normalized plane coordinates-程序员宅基地

文章浏览阅读786次。A. Epipolar geometry and triangulationThe epipolar geometry mainly adopts the feature point method, such as SIFT, SURF and ORB, etc. to obtain the feature points corresponding to two frames of images. As shown in Figure 1, let the first image be and th_normalized plane coordinates

开放信息抽取(OIE)系统（三）-- 第二代开放信息抽取系统(人工规则, rule-based, 先抽取关系)_语义角色增强的关系抽取-程序员宅基地

文章浏览阅读708次，点赞2次，收藏3次。开放信息抽取(OIE)系统（三）-- 第二代开放信息抽取系统(人工规则, rule-based, 先关系再实体)一.第二代开放信息抽取系统背景第一代开放信息抽取系统(Open Information Extraction， OIE， learning-based, 自学习, 先抽取实体)通常抽取大量冗余信息，为了消除这些冗余信息，诞生了第二代开放信息抽取系统。二.第二代开放信息抽取系统历史第二代开放信息抽取系统着眼于解决第一代系统的三大问题: 大量非信息性提取（即省略关键信息的提取）、_语义角色增强的关系抽取