26 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

Podepnę się pod ten stary temat żeby nie śmiecić na forum. Wcześniej nie miałem potrzeby używać oprogramowania ograniczającego łącze i kiedy już nadszedł na to czas to niestety dostaję :

root@OpenWrt:~# opkg install wshaper
Installing wshaper (1.1a-1) to root...
Downloading http://downloads.openwrt.org/chaos_calmer/15.05/ar71xx/generic/packages/packages/wshaper_1.1a-1_all.ipk.
Multiple packages (kmod-sched and kmod-sched) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched and kmod-sched) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched and kmod-sched) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched and kmod-sched) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched and kmod-sched) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched and kmod-sched) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-ipt-core and kmod-ipt-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Multiple packages (kmod-sched-core and kmod-sched-core) providing same name marked HOLD or PREFER. Using latest.
Collected errors:
 * satisfy_dependencies_for: Cannot satisfy the following dependencies for wshaper:
 *     kernel (= 3.18.45-1-70607226113cc75e4e6ab0a5f0c43494) *     kernel (= 3.18.45-1-70607226113cc75e4e6ab0a5f0c43494) * 
 * opkg_install_cmd: Cannot install package wshaper.

a mój kernel to 

root@OpenWrt:~# uname -r
3.18.23

a wersja to 

OpenWrt Chaos Calmer 15.05 (r48430)
Build time: 2016-01-23 07:53 CET

Wiem że to nie jest najnowszy obraz smile ale nie chce mi się instalować wszystkiego od nowa i konfigurować a mam tu sporo już zrobione. Pomóżcie z tą wersją ... może ktoś ma starszą którą zainstaluję na tym kernelu ?

27 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

Są w tym samym katalogu też starsze moduły. Po prostu ściągnij i zainstaluj ręcznie...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

28 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

Tyle że w tym katalogu najstarsze wersje to 3.18.36 a ja mam kernel 3.18.23

29 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

https://dl.eko.one.pl/chaos_calmer/old_modules/ar71xx/ ....

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

30 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

Super, działa. Dziękuję!

Mam jednak jeszcze jeden problem. Mianowicie po podaniu do Firewall - Custom Rules wpisu  

iptables -I FORWARD -p tcp -s 172.16.0.0/12 ! --dport 80 -j REJECT

niestety ale każde połączenie mam connection refused hmm
Wszystko zrobiłem zgodnie z Twoim opisem Cezary o sieci gościnnej i ograniczaniu łącza

31 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

Wszystko co jest z sieci 172.16.x.x/12 i  nie na port 80 jest odrzucane. Tak chciałeś? I taką adresację masz? I robisz sprawdzenie z sieci gościnnej?

Nie pisz że zrobiłeś zgodnie z poradnikiem tylko pokaż co zrobiłeś. Za dużo już było postów żeby wierzyć w tą "zgodność z poradnikiem".

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

32 Odpowiedź przez pawkon (edytowany przez pawkon 2017-06-09 09:09:41)

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

Dokładnie tak chciałem. Wszystko co nie idzie po 80 porcie ma być rejected.
Network:

config interface 'guest'
        option proto 'static'
        option ipaddr '172.16.0.1'
        option netmask '255.240.0.0'

Firewall

config zone
        option name 'guest'
        list network 'guest'
        option output 'ACCEPT'
        option input 'REJECT'
        option forward 'REJECT'

config forwarding
        option src 'guest'
        option dest 'wan'

config rule
        option src 'guest'
        option proto 'udp'
        option src_port '67-68'
        option dest_port '67-68'
        option target 'ACCEPT'
        option family 'ipv4'

config rule
        option src 'guest'
        option dest_port '53'
        option target 'ACCEPT'
        option family 'ipv4'
        option proto 'tcpudp'

po połączeniu z siecią guest (172.16.0.153) i próbie wejścia na jakąkolwiek stronę dostaję connection rejected. Jak zakomentuję wcześniej podaną linijkę wtedy wszystko śmiga.

33 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,127

Odp: Ograniczenie pasma dla sieci gościnnej.

A nie powinno się przypadkiem napisać zakres portów 67:68 ?

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

34 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

mar_w napisał/a:

A nie powinno się przypadkiem napisać zakres portów 67:68 ?

Łapie i taką i taką składnię. Sprawdź.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

35 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

pawkon napisał/a:

....
po połączeniu z siecią guest (172.16.0.153) i próbie wejścia na jakąkolwiek stronę dostaję connection rejected. Jak zakomentuję wcześniej podaną linijkę wtedy wszystko śmiga.

Zrobiłem właśnie 1:1 ze strony i mi działa. Jesteś pewien że strona którą próbujesz wczytać nie przerzuca cię na https?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

36 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,127

Odp: Ograniczenie pasma dla sieci gościnnej.

Cezary napisał/a:
mar_w napisał/a:

A nie powinno się przypadkiem napisać zakres portów 67:68 ?

Łapie i taką i taką składnię. Sprawdź.

No fakt, że nie sprawdziłem tylko od razu zasugerowałem się propozycją z manuala: REDIRECTS

pawkon napisał/a:

...
Dokładnie tak chciałem. Wszystko co nie idzie po 80 porcie ma być rejected...
...iptables -I FORWARD -p tcp -s 172.16.0.0/12 ! --dport 80 -j REJECT...
...po połączeniu z siecią guest (172.16.0.153) i próbie wejścia na jakąkolwiek stronę dostaję connection rejected. Jak zakomentuję wcześniej podaną linijkę wtedy wszystko śmiga....

A to nie jest przypadkiem tak, że użycie   -I   w łańcuchu FORWARD ustawia regułę jako pierwszą i urządzenie 172.16.x.x chcąc zapytać DNS o rozwiązanie nazwy, wysyła zapytanie na porcie, które łapie się pod tą regułę jako REJECT więc sprawdzanie dalszych reguł już się nie odbywa i jest to co jest, czyli REJECT.

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

37 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

Nie, jeżeli serwera dns używasz lokalnego, tego z routera. Wtedy idzie przez input nie forward. Sprawdź...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

38 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

Okey, Wywaliłem wszystko (łącznie z usunięciem interfejsu) restart i wszystko od nowa zrobiłem i zaczęło działać. yikes Nie wiem co było nie tak sad Jest teraz ruch do http po 80 porcie. Czy można dodać teraz 443 w tej samej lini? Jeśli tak to jak? po przecinku czy jak? A jeśli nie to jak to się robi? A przy okazji coś się jednak złego zadziało z tym wszystkim bo przestał reagować na reboot z linii poleceń i z gui i działa tylko reboot -f . Gdzie mógłbym to naprawić? Nie wiem czy to ma związek z poprzednim problemem ale wszystko inne funkcjonuje prawidłowo.

39 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

Nie, reboot nie ma nic z tym wspólnego. Zepsułeś coś nowego.

Praca domowa: multiport: https://stackoverflow.com/questions/638 … n-one-rule

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

40 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

okey więc doszedłem do takiego zapisu : 

iptables -I FORWARD -p tcp -s 172.16.0.0/12 -m multiport ! --dports 443,80 -j REJECT

I faktycznie http i https mi działa a próba połączenia się fileZilla na ftp skutkuje connection rejected. I fajnie ale Gadu i Skype nadal się łączą prawidłowo. Czy one używają portu 80 ? Czy w ten sposób wyblokowane zostały torrenty i inne ego typu tematy ?

41 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

NIe. Torrenty potrafią bardzo ładnie łączyć się po http i https, w ten sposób nie wyblokujesz.

Tak samo jako komunikatory - zauważ że wyblokowałeś tcp a udp już nie.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

42 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

a na coś takiego jest szansa? -> https://forum.openwrt.org/viewtopic.php … 79#p250779

43 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

Było kiedyś. Zostało wywalone bo layer7 od dawna nie ma.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

44 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

a takim czymś też rozumiem niewiele zdziałam ? 

-A FORWARD -m string --string "BitTorrent" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "BitTorrent protocol" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "peer_id=" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string ".torrent" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "announce.php?passkey=" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "torrent" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "announce" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "info_hash" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "get_peers" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "announce_peer" --algo bm --to 65535 -j DROP
-A FORWARD -m string --string "find_node" --algo bm --to 65535 -j DROP

45 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

A to jest po stringach. Zdziałasz tylko dla ruchu nieszyfrowanego. A większość połączeń może po https lecieć wtedy nic nie zobaczysz w pakietach.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

46 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

No to skończyły mi się pomysły sad czy mogę cokolwiek zrobić żeby choć w jakikolwiek sposób wyblokować lub przynajmniej ograniczyć każdy ruch poza 80 i 443 ? Narazie poza tym wpisem w iptables oraz wshaperem zmniejszony mocno ruch nie mam nic więcej.

47 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

W sumie ciężko to zrobić. Możesz zrobić qos, znany ruch (ftp/ssh/http/https) i nie przekraczający np. 5MB możesz włożyć do kolejki która przydziela np. 2/2Mbps. A wszystko inne do domyślnej która ma np. 128kbps. I niech się torrenty duszą w tym worku.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

48 Odpowiedź przez pawkon

  • pawkon
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-03-18
  • Posty: 208

Odp: Ograniczenie pasma dla sieci gościnnej.

Dziekuje za wszystkie informacje. Czy mozesz mi jeszcze podpowiedziec jak to mozna zrobic przy uzyciu wshapera? Mam dzieki niemu przyciety ruch ale nie znalazlem tu na forum jakis szerszych informacji.

49 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Ograniczenie pasma dla sieci gościnnej.

Nie, wshapera jest prosty i tylko obcina ruch do określonego zakresu. Pakiet qos-scripts i dużo czytania Cię czeka.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona