Ограничения по отдельным IP-адресам

В этом руководстве мы настроим ограничения для разных IP-адресов (подсетей) по различным правилам: ординарный доступ будет сильно ограничен, приоритетный - с более высокими возможностями.

Привязка пользователей будет сделана по MAC-адресам устройств - при помощи DHCP-сервера за ними будут закреплены статические IP-адреса.

Т.к. время жизни проекта ISC DHCP завершилось (End of Line), будет использоваться Kea DHCP. Соответственно, надо убедиться, что ISC DHCP должен быть отключён, а Kea DHCP - включён:

• Перейдите в раздел Службы ‣ ISC DHCP v4 и убедитесь, что данная служба отключена

• Перейдите в Службы ‣ Kea DHCP ‣ Kea DHCPv4

• На вкладке Настройки установите флажок для параметра Включен

Конфигурация для примера использует следующие значения:

Адрес TING	10.10.1.49
Cеть LAN	10.10.1.0/24
Приоритетное устройство	10.10.1.22
Рядовое устройство	10.10.1.64

Настройка Kea DHCP

На вкладке Настройки убедитесь, что Kea DHCP слушает нужный интерфейс (LAN).

Настройка DHCP

Перейдите на вкладку Подсети, нажмите + и задайте следующие параметры:

Подсеть	Укажите вашу подсеть LAN, например: 10.10.1.0/24
Описание	Задайте название для подсети, например: LAN_10.10.1.0 (необязательный параметр)
Пулы	Диапазон для выдачи адресов DHCP, например: 10.10.1.100-10.10.1.200

Примечание

LAN-адрес TING должен находиться вне диапазона выдачи адресов DHCP-сервером.

Пример настройки DHCP-сервера:

Привязки IP-адресов к MAC-адресам клиентов

Перейдите на вкладку Резервирования, нажмите + и заполните открывшуюся форму:

Подсеть	Выберите вашу сеть LAN
MAC-адрес	Адрес устройства в формате AA:BB:CC:DD:EE:FF
IP-адрес	Желаемый фиксированный адрес IP для указанного MAC-адреса
Описание	Описательное имя для устройства

Назначение IP:

Пример резервирования:

Ограничение скорости

Для входящего и исходящего трафика нужно создать отдельные каналы. Затем настраиваются правила, которые будут направлять в эти каналы трафик соответствующих групп пользователей.

Создание каналов

Конфигурирование осуществляется в Межсетевой экран ‣ Ограничение скорости ‣ Каналы.

Создадим отдельные каналы для исходящего/входящего трафиков - для приоритетных и ординарных устройств (всего будет 4 канала) и назначим следующие ограничения по скорости:

Исходящий приоритетный	1 Мбит/c (или не устанавливать - без ограничений)
Входящий приоритетный	20 Мбит/c (или не устанавливать - без ограничений)
Исходящий пользовательский	200 Кбит/c
Входящий пользовательский	2000 Кбит/c

Для добавления новой конфигурации нажмите + и создайте следующие каналы с такими настройками:

Исходящий приоритетныйВходящий приоритетныйИсходящий для пользователейВходящий для пользователей

Пропускная способность	1 (или без ограничений)
Метрика пропускной способности	Мбит/с (также можно выбрать бит/c, Кбит/c, Гбит/c)
Маска	(none)
Описание	Приоритетный исходящий

Вид итоговых настроек на вкладке Каналы:

Создание правил

Эти настройки выполняются на вкладке Правила.

Предупреждение

Очередность применения правил соответствует параметру Последовательность: меньше номер - выше приоритет. Поэтому для приоритетной группы пользователей значение данного параметра должно быть ниже, чем в правилах обычных пользователей.

Для каждого случая создаются соответствующие правила, где нужно заполнить следующие поля:

Ограничение исх. для пользователейОграничение вх. для пользователейПриоритетное ограничение исх.Приоритетное ограничение вх.

Последовательность	1
Интерфейс	WAN
Протокол	ip
Отправитель	IP-адреса из группы приоритетных пользователей (ранее закреплённые в Kea DHCP) [1]
Получатель	any
Назначение	Выберите созданный ранее Приоритетный исходящий
Описание	ShapePrior_up

[1] (1,2,3,4)

IP-адреса указываются в формате CIDR: 10.0.1.10, 10.0.1.11. Также можно указать подсеть, если вся группа находится в одном диапазоне: 10.0.1.0/24

Вид итоговых настроек на вкладке Правила:

Проверка

Замерить скорость можно, например, при помощи веб-сервиса https://yandex.ru/internet/

Через командную строку можно посмотреть каналы, правила и некоторую статистику по правилам:

dnctl pipe show
dnctl pipe list
ipfw pipe show

Возможные проблемы

Не работают ограничения

Если не срабатывают ограничения, то можно сделать следующие шаги:

• Надо убедиться, что трафик ходит строго через устройство TING в обе стороны, если нет - настроить соответствено.

• Может помочь перезагрузка системы;

• Пересоздать настройки шейпинга начисто: удалить каналы и правила и заново их создать.

Не отображаются IP в «Активных потоках»

Если при включенной расширенной статистике на странице Статус (параметр Показать активные потоки), в полях Отправитель и Получатель отображается 0.0.0.0 - это нормальное поведение, так как отчёт для шейпера не детализирует такую информацию.