linux – 大型系统(大约2000个用户)中流量控制的最佳解决方案是

我们有一个交通点系统,每MB下降或上传成本点,新点按小时加.目前,我们在用完所有积分时阻止了用户的互联网访问(通过在Debian网关路由器的iptables中将他置于REJECT策略中).

我们只想限制用户的带宽.做这个的最好方式是什么？

简单的答案是在用户的交换机端口(主要是Cisco Catalyst 3550s)上设置速率限制.但是,这是不可取的,因为我们自己的网络和大学网络内的流量应该保持无限制.
有没有办法限制Cisco IOS中具有特定目的地或源IP范围(所以出口和入口)的数据包的带宽？我找不到任何东西.

另一种方法是控制网关路由器上的流量.我想到了几种解决方案：

> tc或tcng – 似乎都具有相当神秘的语法,并且都没有提供用于进行每IP流量控制的良好功能.对于这么多人而言,专用的QDisc可能会使路由器减速很多.此外,关于两者的文档已经过时了.
> shorewall – 似乎有一个相当简洁的配置语法,但是,我不确定它是否可以处理这个数量的流量和用户以及它是否适合每IP流量限制
> pfSense – 看起来像一个用于像我们这样的目的的操作系统.但是,它需要我们完全重新安装我们的网关路由器.我们没有其他BSD系统,pfSense需要具备非常好的流量计费功能(我们目前在那里使用fprobe-ulog和ulog-acctd).

你有什么经历？哪种解决方案适合我们的需求并且最容易维护？你有其他想法吗？

如果您需要有关我们系统的任何其他信息,请不要犹豫.

提前致谢.

编辑：我用iptables和tc实现了系统.

每个用户都有一个/ 28子网,一个VPN IP(均来自10.0.0.0/8)和一个外部IP,所有用户都通过一个iptables链进行操作.这个链只有一个规则,一个简单的RETURN.

每隔五分钟,Python脚本会读出这些规则的字节计数器.它会重置计数器并更新PostgreSQL数据库中用户的流量点帐户.

如果用户的点数余额减少到某个阈值以下,则为该用户创建两个tc类(一个用于传入,一个用于我们的网关路由器上的传出接口),IP被输入属于这些类的tc过滤器.这些课程由HTB限速.

与之前使用fprobe-ulog和ulog-acctd的系统相比,这更快,因为字节计数由iptables完成.

我们的用户网络速度已大大提高.