|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Master Yoda 2:5020/400 25 Oct 2002 16:37:01
To : Denis Smirnov
Subject : Re: контроль траффика для локальных пользователей
--------------------------------------------------------------------------------
> Ещё раз -- _входящий_ траффик _пользователя_. Hе IP-шника, а
_пользователя_.
> _Входящий_, а не исходящий.
>
> Рекомендую сделать man iptables на предмет owner:
>
> owner
> This module attempts to match various characteristics of
> the packet creator, for locally-generated packets. It is
> only valid in the OUTPUT chain, and even this some packets
> (such as ICMP ping responses) may have no owner, and hence
> never match.
Ага. Тогда действительно - никак. Единственное, что мне пришло в голову:
Если кол-во реальных IP >= кол-ва юзеров, то --
в цепочке OUTPUT с помощью owner маркируем пакеты, далее у этих
пакетов меняем исходящий адрес*, и подсчитываем траффик приходящий
на этот самый IP. И так для всех юзеров - разные IP.
Если кол-во IP меньше юзеров, то можно попробовать вместо замены IP,
делать замену исходящего порта. (разумеется, надо сделать так, чтобы
эти же порты не открывались ничем и никем другим).
З.Ы. все предлагаемое не пробовал и детально не продумывал. Вполне
возможно, что так тоже не получится ничего.
З.Ы.Ы. вот интересно, а если локальный юзер просто откроет порт на компе,
то эти правила будут работать так же, как при установлении соединения
с внешним адресом? То есть, если в таблесах будет правило, которое
например, все исходящие пакеты будет отправлять с IP=1.1.1.1, а порт
открыть на IP=1.1.1.2, то по какому IP будет доступен открытый сервис?
*(
SNAT допускается выполнять только в таблице nat, в цепочке POSTROUTING.
Другими словами, только здесь допускается преобразование исходящих адресов.
Если первый пакет в соединении подвергся преобразованию исходящего адреса,
то все последующие пакеты, из этого же соединения, будут преобразованы
автоматически и не пойдут через эту цепочку правил.
)
--- ifmail v.2.15dev5
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
