(WLAN-)Router mit Traffic-Shaping

Device Drivers --->
  Network device support  --->
    <M> PPP (point-to-point protocol) support 

Networking  --->
  Networking options  --->
    [*] Network packet filtering (replaces ipchains)  --->
      Core Netfilter Configuration  --->

      IP: Netfilter Configuration  --->

    QoS and/or fair queueing  --->

 config_ppp0=( "ppp" )
 link_ppp0="eth0"               #Netzwerkkarte zum Modem
 plugins_ppp0=(
         "pppoe"
         )
 pppd_ppp0=(
         "updetach"             #warten bis Verbindung steht, sonst wird postup() nicht ausgefuehrt
         "defaultroute"         #Default-Route automatisch setzen
         "usepeerdns"           #vom Provider übermittelte Nameserver nutzen
         "lcp-echo-interval 15" #alle 15 Sekunden Verbindung prüfen
         "lcp-echo-failure 3"   #nach drei Fehlern Verbindung neu aufbauen
         )
 username_ppp0='Nutzer'
 password_ppp0='Paßwort'
 

 mode_ath0="master"
 essid_ath0="Tolle_SSID"
 channel_ath0="3"
 

#WLAN-Interface
interface=ath0
#verwendeter Treiber
driver=madwifi
#Logging-Optionen
logger_syslog=-1
logger_syslog_level=2
logger_stdout=-1
logger_stdout_level=2
debug=0
dump_file=/tmp/hostapd.dump
#Weitere Standardeinstellungen
ctrl_interface=/var/run/hostapd
ctrl_interface_group=0
#Meine WLAN-SSID
ssid=Tolle_SSID
#Filterung von MAC-Adressen - leicht zu umgehen
macaddr_acl=1
accept_mac_file=/etc/hostapd/hostapd.accept 
#Shared Key Authentifizierung
auth_algs=2
#Standardeinstellungen
eap_authenticator=0
eap_message=hello
eapol_key_index_workaround=0
own_ip_addr=127.0.0.1
#WPA und WPA2 erlauben
wpa=3
#Der Pre Shared Key
wpa_passphrase=mein Schlüssel
#Pre Shared Keys, kein EAP
wpa_key_mgmt=WPA-PSK
#CCMP/AES verwenden, kein TKIP
wpa_pairwise=CCMP 

DNRD_OPTS="
       --server [nameserver 1 des Providers]
       --server [nameserver 2 des Providers]
"
 

domain tolledomain
192.168.0.1 router
192.168.0.2 name1
192.168.0.3 name2
192.168.0.4 name3

google-analytics.com
www.google-analytics.com

version 5

#Adreßraum des lokalen Netzes (192.168.*.*)
home_ips="192.168.0.0/16"

#Innenseite des Netzwerks
interface ath0 home src "${home_ips}"
policy reject
server all accept
client all accept

#Außenseite des Netzwerks
interface ppp0 internet src not "${home_ips} ${UNROUTABLE_IPS}"
protection full
client all accept

#Das innere Netzwerk ins Äußere routen
router home2internet inface ath0 outface ppp0
masquerade
route all accept
 

version 5

#Firehol verwirft und loggt alle Pakete, die in keine Regel passen, bzw. in eine der "protection"-Regeln fallen
#iptables loggt standardmäßig nach /var/log/messages, daher kann das ziemlich zumüllen.
#Um diese Einträge später nach /var/log/firehol.log zu loggen, legen wir zur Identifizierung ein Prefix fest:
FIREHOL_LOG_PREFIX="Firehol: "

#Beim Blocken an den Proxy denken: ist ein upstream-proxy definiert, kann trotzdem auf die IPs
#zugegriffen werden.
#Vorsicht wenn Namen statt IP-Adressen angegeben werden: Firehol startet nicht, 
#wenn die Namen nicht aufgelöst werden können. Bei Einwählverbindungen also besser nicht machen.
#blacklist full "google-analytics.com www.google-analytics.com newsticker.save.tv newsticker.shortnews.de"

home_ips="192.168.0.0/16"
#home_ips="192.168.0.1 192.168.0.20 192.168.1.1 192.168.0.30 192.168.0.5"

#man kann in firehol "Dienste" konfigurieren, die dann später verwendet werden können
#der Dienst "mldonkey" hat in diesem Fall drei eingehende ports, kann nach außen hin jeden port benutzen
server_mldonkey_ports="tcp/4000 tcp/4080 tcp/4001"
client_mldonkey_ports="default"
server_p2p_ports="tcp/50060:50080 udp/50060:50080"
client_p2p_ports="default"
server_udpecho_ports="udp/echo"
client_udpecho_ports="default"
#Bestimmung der Ports die an eine interne Adresse weitergeleitet werden sollen (port-forwarding)
#Unten nicht das umgekehrte Routing für diesen Dienst nicht vergessen!
server_weiterleitung_ports="tcp/50100:50110"
client_weiterleitung_ports="tcp/50100:50110"

#Bestimmung der Zieladresse für die Portweiterleitung inklusive Zielports
nat to-destination 192.168.0.20 inface ppp0 proto tcp dport 50100:50110

#nur die MAC-Adresse 00:14:D1:00:7A:51 darf 192.168.0.20 haben
#mac 192.168.0.20 00:14:D1:00:7A:51

#Traffic-Klassifizierung:
#Für firehol (iptables?) gilt: Die erste Markierung, die ein Paket bekommt ist anscheinend die allein gültige!
#Daher werden erst die Pakete markiert, die immer Vorrang haben (also auch die von bösen Traffic-Erzeugern),
#danach werden die Prioritäten negativ absteigend verteilt
#POSTROUTING outface ppp+: Betrifft alles was den Router Richtung Internet verläßt
#OUTPUT: Betrifft alle Pakete, die lokal vom Router erzeugt werden
#FORWARD outface ppp+: Betrifft alle Pakete, die von Client-Rechnern ins Internet gerouted werden
#Dabei auch gleich den "type of service" setzen, nimm dscp, tos ist veraltet
#http://www.aarnet.edu.au/engineering/networkdesign/qos/precedence.html
#http://www.rhyshaden.com/qos.htm
#Für voip: EF: Expedited Forwarding, das beste was geht
#Für wow: AF21 (muß nicht superschnell sein, dafür sollen die pakete sicher ankommen)
#Für intaktive Sachen: AF41, für ACK nehmen wir mal AF31
#Für File-Sharing: AF13: langsam und hohe drop-Wahrscheinlichkeit, aber billig

#Bei Längenangaben beachten: Iptables sieht Paketgrößen folgendermaßen:
#udp over ethernet: ? bytes data + 8 bytes UDP header + 20 bytes IP header
#tcp over ethernet: ? bytes data + (optional 0-40bytes options) + 20 TCP header + 20 IP header
#bei tcpdump beachten: Die Angabe von "length" ist korrekt (ohne die 14 bytes MAC-header)
#bei wireshark ist die Länge aus dem "length"-Feld der IP-Schicht ablesbar

#Nützliche Tools zur Konfigurationshilfe und zum Testen:
#net-analyzer/tcpdump, net-analyzer/wireshark
#net-misc/iperf, net-misc/packETH, net-analyzer/nmap, net-analyzer/hping

#(dns-lookups, pings, ack-pakete)
#ACK-Pakete sind meist entweder 40 bytes lang oder 40 bytes + 12bytes timestamps
#Folgendes heißt: SYN,RST,URG müssen aus sein, ACK muß an sein, FIN und PSH ist egal:
mark 1 POSTROUTING proto tcp custom "--tcp-flags SYN,ACK,RST,URG ACK -m length --length 40" outface ppp0
dscp class AF32 POSTROUTING proto tcp custom "--tcp-flags SYN,ACK,RST,URG ACK -m length --length 40" outface ppp0
mark 1 POSTROUTING proto tcp custom "--tcp-flags SYN,ACK,RST,URG ACK -m length --length 52" outface ppp0
dscp class AF32 POSTROUTING proto tcp custom "--tcp-flags SYN,ACK,RST,URG ACK -m length --length 52" outface ppp0
#Verbindungsabbruch/-ablehnung
mark 1 POSTROUTING proto tcp custom "--tcp-flags ALL RST -m length --length 40" outface ppp0
mark 1 POSTROUTING proto udp dport domain custom "-m length --length :100" outface ppp0
dscp class AF31 POSTROUTING proto udp dport domain custom "-m length --length :100" outface ppp0
mark 1 POSTROUTING proto icmp custom "--icmp-type echo-request -m length --length :90" outface ppp0
mark 1 POSTROUTING proto icmp custom "--icmp-type echo-reply -m length --length :90" outface ppp0
#Zum Testen: udp-ping und tcp-ping auf dem echo-port
mark 1 POSTROUTING proto tcp sport echo custom "! --syn -m length --length 40" outface ppp0
mark 1 POSTROUTING proto tcp dport echo custom "--syn -m length --length 60" outface ppp0
mark 1 POSTROUTING proto icmp custom "--icmp-type port-unreachable -m length --length 57" outface ppp0
mark 1 POSTROUTING proto udp dport echo custom "-m state --state NEW -m length --length 29" outface ppp0

#Dann werden die bösen Traffic-Erzeuger der Klasse p2p zugeordnet
#-m owner kann nur bei OUTPUT matchen, da im POSTROUTING die Information, 
#wem das Paket gehört nicht mehr zur Verfügung steht
mark 3 OUTPUT user "p2p apache" outface ppp+
dscp class AF13 OUTPUT user "p2p apache" outface ppp+
#mark 3 FORWARD custom "-m ipp2p --ipp2p" proto tcp outface ppp+
#dscp class AF13 FORWARD custom "-m ipp2p --ipp2p" proto tcp outface ppp+
#mark 3 FORWARD custom "-m layer7 --l7proto bittorrent" proto tcp outface ppp+
#dscp class AF13 FORWARD custom "-m layer7 --l7proto bittorrent" proto tcp outface ppp+
#mark 3 FORWARD custom "-m layer7 --l7proto gnutella" outface ppp+
#dscp class AF13 FORWARD custom "-m layer7 --l7proto gnutella" outface ppp+
#mark 3 FORWARD custom "-m layer7 --l7proto edonkey" outface ppp+
#dscp class AF13 FORWARD custom "-m layer7 --l7proto edonkey" outface ppp+
#mark 3 FORWARD custom "-m layer7 --l7proto fasttrack" outface ppp+
#dscp class AF13 FORWARD custom "-m layer7 --l7proto fasttrack" outface ppp+

#nachdem die bösen Traffic-Erzeuger aussortiert worden sind, setzen wir die Klasse hohe Priorität:
#Anfragen an http, ftp, email, aber auch gesendete Kommunikation (jabber,icq,msn,world of warcraft...)
mark 2 POSTROUTING proto tcp dport "ftp http aol ircd 1863 xmpp-client 5050 blizwow smtp pop3 imaps"\
        outface ppp+
dscp class AF22 POSTROUTING proto tcp dport "ftp http aol ircd 1863 xmpp-client 5050 blizwow smtp pop3 imaps"\
        outface ppp+

#sftp und scp hat den Type of Service 16 (interaktiv) nicht gesetzt:
mark 2 POSTROUTING proto tcp dport ssh tos not 16 outface ppp+
mark 2 POSTROUTING proto tcp sport ssh tos not 16 outface ppp+

#Zum Schluß holen wir die höchste Priorität hervor:
#udp-traffic (voip,dns,online-spiele) (Klasse "Interaktiv")
#half-life:
#mark 1 FORWARD proto udp dport "27000:27030" custom "-m length --length :100" outface ppp0
#dscp class AF41 FORWARD proto udp dport "27000:27030" custom "-m length --length :100" outface ppp0
#interaktives ssh hat tos 16, sftp hat das nicht
mark 1 POSTROUTING proto tcp sport ssh tos 16 outface ppp+
dscp class AF41 POSTROUTING proto tcp sport ssh tos 16 outface ppp+
mark 1 POSTROUTING proto tcp dport ssh tos 16 outface ppp+
dscp class AF41 POSTROUTING proto tcp dport ssh tos 16 outface ppp+
#sipgate (man kann auch anhand der Länge klassifizieren, ist codec-abhängig->wireshark,nachgucken)
#mark 1 POSTROUTING proto udp dst 217.10.79.0/24 outface ppp+
#dscp class EF POSTROUTING proto udp dst 217.10.79.0/24 outface ppp+
#teamspeak-server
#mark 1 OUTPUT proto udp user teamspeak2 outface ppp+
#dscp class EF POSTROUTING proto udp user teamspeak2 outface ppp+
#mark 1 FORWARD proto udp dport "8767 10010" outface ppp+
#dscp class EF POSTROUTING proto udp dport "8767 10010" outface ppp+
#mark 1 FORWARD custom "-m layer7 --l7proto skypetoskype" outface ppp+
#dscp class AF41 FORWARD custom "-m layer7 --l7proto skypetoskype" outface ppp+

#Innenseite des Netzwerks 
interface ath0 home src "${home_ips}"
#erstmal alles ablehnen 
policy reject
#dann die erlaubten Dienste freischalten
server "samba squid http ssh icmp https mldonkey" accept
#Ins innere Netz darf der Router alles
client all accept

#Außenseite des Netzwerks
interface ppp0 internet src not "${home_ips} ${UNROUTABLE_IPS}"
#Verbindungsanfragen nicht rejecten, sondern einfach nicht drauf antworten
#strong: alle protections an, 10 Anfragen pro Sekunde zulassen, burst: 10
#protection strong 10/sec 10
protection full
server "http https ssh p2p echo udpecho ping" accept
#ident aber sofort rejecten, sonst dauert der connect zu irc-server zu lange
server ident reject with tcp-reset
#Spezialbehandlung: user wow darf nur bestimmte wow-server connecten um den Mißbrauch
#des socks-proxys für wow zu verhindern
#server "wow" drop
#client all accept user not "wow" 
#client "wow" accept user "wow" dst "eu.logon.worldofwarcraft.com 80.239.149.115"
client all accept

#Das innere Netzwerk ins Äußere routen
router home2internet inface ath0 outface ppp0
masquerade
route all accept

#Die Portweiterleitung von oben ins innere Netz routen 
router internet2home inface ppp0 outface ath0
server weiterleitung accept
client weiterleitung accept

 

#firehol nach /var/log/firehol.log loggen:
filter firehol_filter { match("^Firehol: .*"); };
destination d_firehol {file ("/var/log/firehol.log"); };
log {
   source(src);
   #bei hardened-Profil:
   #source(kernsrc);
   filter(firehol_filter);
   destination(d_firehol);
   #Weitere Bearbeitung von diesen logs beenden (soll ja nicht in messages erscheinen)
   flags(final);
};
 

/var/log/messages /var/log/firehol.log { 

#!/bin/bash
DEV=ppp0
# http://tldp.org/HOWTO/ADSL-Bandwidth-Management-HOWTO/implementation.html
# vorher testen, ob die angegebene Uploadrate überhaupt erreichbar ist (geht der Ping hoch?)
# z.B. mit: net-misc/iperf
# auschlaggebend sollte der tcp-verkehr sein, da dort der overhead am größten ist
UPRATE=840 #ca. 80% von max 
DOWNRATE=12000
#erstmal alle tc-regeln löschen
tc qdisc del dev $DEV root 2> /dev/null > /dev/null
tc qdisc del dev $DEV ingress 2> /dev/null > /dev/null
tc qdisc del dev $DEV egress 2> /dev/null > /dev/null

# das oft verwendete htb ist zu langsam für Voip und FPS-Spiele, daher hfsc
# http://klaus.geekserver.net/hfsc/hfsc.html
# root qdisc anlegen
tc qdisc add dev $DEV root handle 1:0 hfsc default 12
# Hauptklasse
tc class add dev $DEV parent 1:0 classid 1:1 hfsc sc rate ${UPRATE}kbit ul rate ${UPRATE}kbit
# Unterklasse "Interaktiv": 10/20 der Bandbreite (50%), höchste Priorität, geringste Latenz
tc class add dev $DEV parent 1:1 classid 1:10 hfsc sc umax 1500b dmax 30ms rate $[10*UPRATE/20]kbit ul rate ${UPRATE}kbit
# Unterklasse "Hohe Priorität": 6/20 der Bandbreite (30%)
tc class add dev $DEV parent 1:1 classid 1:11 hfsc sc rate $[6*${UPRATE}/20]kbit ul rate ${UPRATE}kbit
# Unterklasse "Sonstiges": 3/20 der Bandbreite (15%)
tc class add dev $DEV parent 1:1 classid 1:12 hfsc sc rate $[3*UPRATE/20]kbit ul rate $[3*UPRATE/20]kbit
# Unterklasse "File sharing" 1/20 der Bandbreite (5%)
tc class add dev $DEV parent 1:1 classid 1:13 hfsc sc rate $[1*UPRATE/20]kbit ul rate ${UPRATE}kbit

# Innerhalb der Klassen soll gleichberechtigung herrschen, da die Gleichberechtigungsfunktion auch nicht perfekt ist,
# wird die auch noch alle 10s geändert (perturb)
tc qdisc add dev $DEV parent 1:10 handle 10: sfq perturb 10
tc qdisc add dev $DEV parent 1:11 handle 11: sfq perturb 10
tc qdisc add dev $DEV parent 1:12 handle 12: sfq perturb 10
tc qdisc add dev $DEV parent 1:13 handle 13: sfq perturb 10

# Eingehender Verkehr, wird unten weiter behandelt
tc qdisc add dev $DEV handle ffff: ingress

#Jetzt kommt die Verteilung der oben markierten Pakete in die einzelnen Klassen
#erstmal alles in die "Sonstiges"-Klasse
tc filter add dev $DEV parent 1:0 prio 2 protocol ip handle 12 fw flowid 1:12
#aber mit 1 markierte Pakete in die Klasse "Interaktiv"
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 1 fw flowid 1:10
#und mit 2 markierte Pakete in die Klasse "Hoch"
tc filter add dev $DEV parent 1:0 prio 1 protocol ip handle 2 fw flowid 1:11
#und mit 3 Markierte Pakete in die Klasse "file sharing"
tc filter add dev $DEV parent 1:0 prio 3 protocol ip handle 3 fw flowid 1:13
# Den eingehenden Verkehr drosseln (sonst wird Voip bei schnellen Downloads beeinträchtigt)
# http://www.ip-phone-forum.de/archive/index.php/t-64990.html
tc filter add dev $DEV parent ffff: protocol ip prio 50 u32 match ip src \
0.0.0.0/0 police rate ${DOWNRATE}kbit burst 13k drop flowid :1
 

postup() {
        if [ "$IFACE" == "ppp0" ]
        then
                /usr/local/sbin/tc-script
                #dyndns-Update:
                #/usr/bin/updatedd-wrapper -y
        fi
}