在某些时候需要模拟一些弱网环境,而 Linux 本身通过可以配置成一个路由,同时结合流量整形命令 tc 可以达到弱网以及流量限制的功能。
对于流量整形,单个网络适配器只能正对出口带宽进行整形,所以需要配置一台路由以便于双向流量整形 (WAN 及 LAN)。同时此路由设备后面可以接入多台主机设备,以便于统一配置弱网环境。
文本以 CentOS 7 为例在 Windows 桌面环境的 VMware 虚拟机环境下配置一个弱网模拟的路由。
对于其它虚拟机软件或平台,可以找到类似的方法配置网络。对于其它 Linux 发行版也可以找到对应的网络配置,此方法大概率兼容更高的 CentOS 版本以及 RHEL
虚拟机配置
需要两台虚拟机,一台作为路由设备,一台作为客户机。客户机也可以用其它操作系统,例如 Win 10,这里不影响实际配置。
路由机的网卡选择桥接模式(或者NAT,取决于需要)。另外添加一个额外的网适配器,选择自定义网络 VMNet19。
客户机的唯一网络适配器选择自定网络 VMNet19。
配置路由主机网络
网卡的启用配置可以在创建虚拟机时设置,也可以再虚拟机安装完毕后设置。
启用 WAN 和 LAN
使用命令 nmtui 进入图形化网络配置
~]# nmtui
打开两个网卡的 自动连接 选项
同时修改 LAN 网卡为手动配置:
- 修改IP地址为 10.1.1.1/24
- 打开 时钟不适用此网络用于默认路由
- 打开 忽略自动获取的DNS参数
现在路由主机有了两个网卡分别作为 WAN (ens33,192.168.200.171) 和 LAN (ens34,10.1.1.1)
~]# ip a ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000 link/ether 00:0c:29:db:94:30 brd ff:ff:ff:ff:ff:ff inet 192.168.200.171/24 brd 192.168.200.255 scope global noprefixroute dynamic ens33 valid_lft 43131sec preferred_lft 43131sec inet6 fe80::4a9b:5e96:d28d:6b99/64 scope link noprefixroute valid_lft forever preferred_lft forever ens34: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000 link/ether 00:0c:29:db:94:3a brd ff:ff:ff:ff:ff:ff inet 10.1.1.1/24 brd 10.1.1.255 scope global noprefixroute ens34 valid_lft forever preferred_lft forever inet6 fe80::742d:21e0:a13f:dac7/64 scope link noprefixroute valid_lft forever preferred_lft forever
配置防火墙
现在 WAN (ens33) 和 LAN (ens34) 都默认在 public 网络区中。
在此网络区中启用 masquerade 功能,同时打开 8000 和 5022 端口转发到 10.1.1.2 以供后续测试,然后重载防火墙配置。最后查看防火墙当前状态:
~]# firewall-cmd --add-masquerade --permanent ~]# firewall-cmd --add-forward-port=port=5022:proto=tcp:toport=22:toaddr=10.1.1.2 --permanent ~]# firewall-cmd --add-forward-port=port=8000:proto=tcp:toaddr=10.1.1.2 --permanent ~]# firewall-cmd --reload ~]# firewall-cmd --list-all public (active) target: default icmp-block-inversion: no interfaces: ens33 ens34 sources: services: dhcpv6-client ssh ports: protocols: masquerade: yes forward-ports: port=5022:proto=tcp:toport=22:toaddr=10.1.1.2 port=8000:proto=tcp:toport=:toaddr=10.1.1.2 source-ports: icmp-blocks: rich rules:
此时检查系统选项,确认 ipv4 转发已启用:
~]# sysctl -a | grep net.ipv4.ip_forward net.ipv4.ip_forward = 1
启用 DHCP
安装 DHCP 服务
~]# sudo yum install dhcp -y
编辑 /etc/dhcp/dhcpd.conf
文件, 并添加以下配置:
subnet 10.1.1.0 netmask 255.255.255.0 { range 10.1.1.150 10.1.1.200; option routers 10.1.1.1; option subnet-mask 255.255.255.0; # 配置一个可用的DNS服务器 option domain-name-servers 192.168.200.1; # 在虚拟机网卡配置中查看 MAC 地址,给此地址分配固定IP host centos-7-user { hardware ethernet 00:0C:29:7B:0B:9C; fixed-address 10.1.1.2; } }
重启服务并打开随开机启动 DHCP:
~]# systemctl restart dhcpd ~]# systemctl enable dhcpd
如果有需要,重启网络服务或者重启主机确认最新网络状态。
~]# systemctl restart network.service
检查客户机网络
客户机通过上述同样方式启用唯一的网卡。
后会发现已经处于刚刚在路由机器上配置的网段并分配了 IP 10.1.1.2。
检查 DNS 服务器是否为路由机上 DHCP 服务中配置的内容:
~]# cat /etc/resolv.conf # Generated by NetworkManager nameserver 192.168.200.1
现在可以尝试 ping 一个公网 IP 检查 DNS 和互联网是否连通:
~]# ping baidu.com
路由机上已配置客户机的 SSH 端口转发,现在可以直接通过路由机上的 5022 端口访问客户机。
~]# ssh root@<路由机地址> -p 5022
配置弱网
这里直接提供一个配置脚本以配置路由机的 WAN/LAN 适配器的出口流量整形。提供了双向丢包 5% 重复 5% 重排 5% 延迟 30ms 上下波动 5ms。可以反复执行此脚本以重载配置。
WAN 出口流量限制了 192.168.200.0/24 源网络 (WAN 卡本身地址) 以及 8000 源端口的数据包。
LAN 出口流量限制了 10.1.1.2/32 目标网络以及 8000 目标端口的数据包。
#!/usr/bin/env bash wan='ens33' lan='ens34' tc qdisc del dev $wan root tc qdisc add dev $wan root handle 1: htb tc class add dev $wan parent 1: classid 1:10 htb rate 20000mbit tc qdisc add dev $wan parent 1:10 handle 10: netem loss 5% duplicate 5% reorder 5% delay 30ms 5ms tc filter add dev $wan parent 1: protocol ip prio 1 u32 match ip src 192.168.200.0/24 match ip sport 8000 0xffff flowid 1:10 tc qdisc del dev $lan root tc qdisc add dev $lan root handle 1: htb tc class add dev $lan parent 1: classid 1:10 htb rate 20000mbit tc qdisc add dev $lan parent 1:10 handle 10: netem loss 5% duplicate 5% reorder 5% delay 30ms 5ms tc filter add dev $lan parent 1: protocol ip prio 1 u32 match ip dst 10.1.1.2/32 match ip dport 8000 0xffff flowid 1:10
客户机防火墙打开 8000 端口:
~]# firewall-cmd --add-port=8000/tcp --permanent ~]# firewall-cmd --reload
在客户机中生产一个大文件, 并启用一个简单的 Web 文件服务:
~]# dd if=/dev/zero of=test.file bs=1 count=0 seek=512M # python 2.x ~]# python -m SimpleHTTPServer 8000 # python 3.x ~]# python -m http.server 8000
通过浏览器下载此文件观察速度。(或者直接使用 iperf 测试网络)
额外还可以通过以下命令检查包在指定网络适配器中命中规则次数:
~]# tc -s filter show dev ens33 ~]# tc -s filter show dev ens34
移除流量控制规则:
~] tc qdisc del dev ens33 root ~] tc qdisc del dev ens34 root
以旁路由的方式
如果仅有一个网卡,可以通过结合 firewalld 的 add-forward-port 命令来转发指定外部端口的流量来实现双向流量控制。但是要注意要在同一端口上指定目标和来源端口两个规则:
tc filter add dev $wan parent 1: protocol ip prio 1 u32 match ip src 192.168.200.0/24 match ip sport 8000 0xffff flowid 1:10 tc filter add dev $wan parent 1: protocol ip prio 1 u32 match ip src 192.168.200.0/24 match ip dport 8000 0xffff flowid 1:10
参考
https://www.oreilly.com/library/view/linux-network-administrators/1565924002/ch11.html
https://linuxhint.com/centos7_router/
你好,这个是在虚拟网络情况下,是不是只有一个网卡的时候就没法设置了
只有一个网卡的话可以参考另一篇文章:https://frimin.com/archives/760