http://wiki.mikrotik.com/wiki/Packet_Flow
http://mum.mikrotik.com/presentations/US09/megis_qos.pdf
簡單說:
設備-有兩個端口WAN 和 LAN ，而flow基本上都是成對的
A.
當一個packet從 WAN端進入forward會經過哪些table?
in-interface=WAN → preroute →global-in →Mangle forward →Mangle postroute
→globan-out → out-interface = LAN
*也就是這封包會同時經過
1.glob-in/global out
2.preroute
3.forward
4.in-interface=WAN/out-interface = LAN
B.
當一個packet從Lan端進入會經過哪些tables?
in-interface=LAN → preroute →global-in →Mangle forward →Mangle postroute
→globan-out → out-interface = WAN
1.glob-in/global out
2.preroute
3.forward
4.in-interface=LAN/out-interface = WAN
C.
問題1是:
如果
/ip firewall mamgle add chain=forward action=mark-packet
src-address=192.168.0.0/24 proto=tcp port=80 new-packet-mark=tcp_up
(我要queue tree作用在global中~該選global-in 還 glob-out呢?)
問題2是:
/ip firewall mamgle add chain=preroute action=mark-packet
src-address=192.168.0.0/24 port=80 new-packet-mark=tcp_up
(我要queue tree作用在global中~該選global-in 還 glob-out呢?)
問題3是:
如果
/ip firewall mamgle add chain=forward action=mark-packet
src-address=192.168.0.0/24 proto=tcp port=80 new-packet-mark=tcp_up
(我要queue tree作用在interface中~該選WAN 還 LAN呢?)
問題4是:
如果
/ip firewall mamgle add chain=preroute action=mark-packet
src-address=192.168.0.0/24 proto=tcp port=80 new-packet-mark=tcp_up
(我要queue tree作用在interface中~該選WAN 還 LAN呢?)
問題5是: interface=local是指啥呢? 指interface address ip是local的interface?
--
2011/06/13補充
A.如果要標記一個上傳封包可以用下面方式(同問題四)
/ip firewall mangle
add chain=preroute action=mark-packet
src-address=192.168.0.0/24 new-packet-mark=src_mark
-而且只有用在"出口"端才有效
B.如果要標記下載封包則要怎標記呢?
/ip firewall mangle
add chain=forward action=mark-packet
dst-address=192.168.0.0/24 new-packet-mark=dst_mark
C.你或許會想說那是不是要上下傳都標記一次?其實有其他法
/ip firewall mangle
add chain=preroute action=mark-connection src-address=192.168.0.0/24
new-connection=src_con
add chain=preroute action=mark-packet connection-mark=src_con
new-packet-mark=src_mark
-用在wan端會發現可以控制上傳
-用在lan端會發現可以控制下載
-(1).為何上下傳都可以控制呢?
根據TCP交握，發起端是192.168.0.0/24，從外面又回到發起的pc是一條線，而整條線的
封包都被mark了!
-(2).為何用在wan會變成控制上傳，lan會下載呢?
根據之前所說的會成為這張圖，http://0rz.tw/yHFTY，
由下往上看，
進入網卡後→開始追蹤連結→才經過prerouting→又經過dnat→然後global-in→
forward→postrouting→global-out→snat→最後才到interface
因為流量管控一律是出口的interface
D.為何不直接用 prerouting dst-192.168.0.0/24的packet，呢?
-根據http://0rz.tw/yHFTY，會發現外部封包回來經過preroute表的時候，dst沒有
dst-192.168.0.0/24，但是會發現經過dnat，進入forward前會變成區網ip，所以可
以標記forward鍊表!
E.那為何標記連線不用preroute dst-192.168.0.0/24的connection呢?
-因為下載連線追蹤是發生在snat之前，所以不會有dst-192.168.0.0/24的連線，
但是換成forward dst-192.168.0.0/24的connection 則可以!
F.假設標記forward dst-192.168.0.0/24 connection該怎使用?
-(1)
/ip firewall mangle
add chain=forward action=new-connection-mark dst-address=192.168.0.0/24
new-connection-mark=dst_con
add chain=forward action=new-packet-mark connection-mark=dst_con
new-packet-mark=dst_ogc
-(2)
/ip firewall mangle
add chain=forward action=new-connection-mark dst-address=192.168.0.0/24
new-connection-mark=dst_con passthrough=yes
add chain=forward action=new-packet-mark connection-mark=dst_con
dst-address=192.168.0.0/24 new-packet-mark=dst_ogc passthrough=no
add chain=forward action=new-packet-mark connection-mark=dst_con
src-address=192.168.0.0/24 new-packet-mark=dst_ogc passthrough=no
-(3)
/ip firewall mangle
add chain=forward action=new-connection-mark dst-address=192.168.0.0/24
new-connection-mark=dst_con passthrough=yes
add chain=forward action=new-packet-mark connection-mark=dst_con
dst-address=192.168.0.0/24 new-packet-mark=dst_ogc passthrough=no
add chain=preroute action=new-packet-mark connection-mark=dst_con
src-address=192.168.0.0/24 new-packet-mark=dst_ogc passthrough=no
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 203.72.144.90
※ 編輯: kingofsdtw 來自: 203.72.144.93 (06/13 23:27)