IP-spezifische Netzdrossel / Transparentes Proxy / Traffic Shaping

mrwhite- · 1 Dez 2014

Hallo zusammen,

ich habe folgendes Problem: unsere Leitung fasst nur 8mbit und ein Client meint er müsse die ganze Zeit Netflix schauen und damit die gesamte Bandbreite blockieren. Unsere recht neue Fritzbox kann zwar wunderbar Clients und Applikationen priorisieren, wenn es aber ans Online-Gaming geht, dann ist der Ping dennoch eher schlecht. Nun wollte ich die Bandbreite des besagten Clients auf maximal 4mbit reduzieren. Aber: obwohl das schmucke Stück 180 Euro gekostet hat, ist dies natürlich ab Werk mal wieder nicht möglich. Vor ein paar Tagen wurde ich dann auf Freetz aufmerksam und machte mich direkt an mein neues Projekt, die Kombination aus privoxy, trickle und iptables.

Zunächst meine Konfiguration:

Hauptrouter mit WAN
FRITZ!Box Fon WLAN 7390
Freetz Firmware 84.06.20 rev28634 (aktueller Trunk)
192.168.1.1
Access Point Router ohne WAN
Linksys WRT54G/GS/GL
Tomato Firmware v1.28.7635 Toastman-IPT-ND ND Std
192.168.1.2
Apple TV
192.168.1.106

Aus dem aktuellen Trunk habe ich dann die entsprechenden Module ausgewählt und ein Build gebastelt. Vor dem obligatorischen Make habe ich den Privoxy start() mit einem Trickle-Kommando versehen. Die Installation hat wunderbar geklappt. Nur leider musste ich dann feststellen, dass iptables auf meiner Fritzbox 7390 nicht mehr funktioniert. Auf einen alten Kernel downgraden will ich aber nicht wirklich.

Nun hab ich keinen Plan, was ich tun soll. Kann ich den Client auf sonstigem Wege auf den Port des Privoxy zwingen? Eventuell gar über meinen Access Point? Allerdings glaube ich, dass iptables darauf nicht funktioniert, weil er im Access Point-Modus läuft.

Ich wäre über jeden Tipp extrem dankbar.

Beste Grüße,
Benni

TL;DR:

Apple TV -> Linksys Access Point -> Fritzbox 7390 mit 84.06.20 rev28634 (aktueller Trunk)
Ziel: Transparente Drossel für Netflix Client
Ansatz: privoxy, trickle und iptables
Problem: iptables läuft nicht mehr auf dem alten Kernel der 7390.
Frage nach Alternativen.

koyaanisqatsi · 1 Dez 2014

Moins

Das hier schon probiert?

fritz.box/internet/trafficprio.lua

,,,welcome on board :mrgreen:

mrwhite- · 1 Dez 2014

Heyson,

jaja. Das funktioniert grundsätzlich auch echt gut. Aber sobald es dann ans Gaming geht scheint diese variable Priorisierung nur bedingt zu funktionieren (habe die PS4 gar als Echtzeitanwendung angegeben). Auch bei anderen Anwendungen ist die Priorisierung hin und wieder etwas träge.

PeterPawn · 1 Dez 2014

Ich habe mich in letzter Zeit mal aus Interesse ein wenig damit beschäftigt, vielleicht helfen Dir meine bisherigen Überlegungen ja ein wenig weiter (es ist keine Lösung!) ...

Das mit dem Limitieren von Streaming-Diensten ist ein wenig tricky, da diese heutzutage meines Wissens alle mit "Adaptive Bitrate Streaming" in der einen oder anderen Form arbeiten. Es ist also mit der Limitierung des Uploads wenig zu machen ... die paar Quittungspakete für die (meist HTTP-)Daten tragen im Upstream nicht auf.

Der einfachste Weg wäre die Einstellung der Videorate bei Netflix direkt, dann bietet der Server dem betreffenden Client gar nicht mehr alle verschiedenen Stream-Bitraten an.

Zweitens würde ich vorher wirklich mal testen, ob das Streaming ernsthaft Schuld trägt an schlechten Roundtrip-Zeiten zum Gaming-Server ... wenn ein FTP-Download oder der Versand einer Mail mit Anhängen genauso hinderlich sind, ist vielleicht im entscheidenden Moment im Spiel das genauso fatal, wie ein permanentes Streamen von Videodaten.

Die trickle-Lösung führt ebenfalls nur zu einer Rechteckkurve beim Durchsatz und nicht zu einer entsprechenden "Abflachung" der Datenrate über die gesamte Zeit.

Ansonsten muß man eben den Downstream limitieren, das geht aber erst für die Daten, wenn sie schon bei der FRITZ!Box angekommen sind und dann nur nicht an den Client weitergeleitet werden, was den dann wieder zum Zurückschalten auf einen Stream mit niedrigerem Datenvolumen veranlaßt, wenn er feststellt, daß der höherratige nicht "in time" ankommt.

Ansonsten kannst Du den Downstream (das ist nun mal die Senderate des Servers, die da der entscheidende Faktor ist) eigentlich nicht regeln. Nur über das Verzögern von Quittungspaketen bei TCP-Verbindungen kannst Du in gewissen Grenzen (im Rahmen von Congestion Avoidance) das Senden von Daten durch den Server "begrenzen" ...

Eine "echte" Downstream-Limitierung sollte am ehesten mit dem "RATEEST"-Target der iptables funktionieren (und DROP als Target, wenn das Limit überschritten wird), aber die müßte sich natürlich auf die "interne IP-Adresse" des Apple-TV beschränken, sonst gibt es bei anderen Diensten unnötige Retransmissions, wenn man die Pakete einfach unterschlägt. Das xt_rateest-Module sollte auch ohne conntrack funktionieren ... aber das nur am Rande, denn das eigentliche Problem, was ich dort aber sehe, ist, daß die FRITZ!Box selbst gar nicht alle Pakete sieht und inspizieren kann, die im Rahmen einer solchen Verbindung vom Server zum Client gesendet werden, da ein guter Teil davon bereits im Switch per "FastPath" nach simpler Adress-/Port-Umsetzung direkt abgehakt wird und die Firmware mit diesen Paketen dann gar nicht mehr in Berührung kommt.

Diese "packet acceleration" läßt sich - in gewissen Grenzen - über das proc-Interface des avm_pa-Treibers (/proc/net/avm_pa/control) steuern (die Kommandos findet man im Source des avm_pa), dabei muß man aber auf der Hut sein, sonst ist ganz schnell auch die Firewall-Funktion der Box komplett ausgeschaltet.

Ich denke mal, wenn es wirklich recht unkompliziert machbar wäre, hätte AVM schon eine DS-Limitierung für einzelne Clients gebaut (zumindest für solche "Adaptive Bitrate Streaming"-Szenarien) ... insofern ist es wahrscheinlich doch etwas komplizierter bzw. der Switch wird selbst die durchgeleiteten Pakete nicht zählen können und damit müßten dann eben alle Daten für einen "regulierten Client" wieder durch die CPU, was sicherlich der Performance gesamt auch nicht zuträglich ist (besonders bei höheren Downstream-Raten, die 8 MBit/s bei Dir sind da ja eher Peanuts).

Wobei man diesen Unterschied ja mal ziemlich simpel testen könnte ... das Abschalten des PA und ein paar heftige Downloads, die die Leitung komplett ausreizen, mit entsprechender Messung (und/oder Beobachtung der Auslastung der Box) dürfte da schon erste Aufschlüsse bringen (das passiert beim Packetdump auch, daß da die Daten alle wieder durch die CPU wandern, damit sie entsprechend aufgezeichnet werden können).

mrwhite- · 2 Dez 2014

Wow, danke für deine Antwort. Das macht irgendwie auch alles Sinn. Ein paar Punkte dazu:

Genau das hatte ich vor: den Downstream limitieren, um dann indirekt die Bitrate anzupassen.
Die schlechten Roundtrip-Zeiten liegen tatsächlich am Streaming. Sobald ich den Apple-TV aus dem Netz werfe läuft alles erste Sahne.
IP-Tables geht ja nicht - genau das ist mein Problem . Deswegen kann ich hier auch nix wirklich austesten :-(

Summa Sumarum lässt sich aber annehmen, dass selbst die trickle Lösung wenig ausrichten kann... oder hat da jemand andere Erfahrungswerte (insbes. in Bezug auf Streaming Limitierung)?

PeterPawn · 2 Dez 2014

mrwhite- schrieb:
IP-Tables geht ja nicht - genau das ist mein Problem. Deswegen kann ich hier auch nix wirklich austesten

Mir wurde letztens versichert, daß iptables an sich auch mit aktueller Firmware funktionieren sollte, nur "Connection Tracking" würde nicht richtig funktionieren.

Deshalb auch mein Verweis auf die - zumindest wenn man von den Angaben in der modules.dep ausgeht - Unabhängigkeit des RATEEST-Targets von conntrack ...

sf3978 · 2 Dez 2014

mrwhite- schrieb:
... oder hat ...

Eine evtl. Alternative wäre, die Daten für die zu drosselnde IP-Adresse aus dem (W)LAN der FB, mit z. B. ip_forward und arpspoof (oder gleichwertig) über einen geeigneten Einplatinen-PC im LAN der FB umzuleiten und entsprechend zu "behandeln".

RalfFriedl · 2 Dez 2014

PeterPawn schrieb:
Ansonsten kannst Du den Downstream (das ist nun mal die Senderate des Servers, die da der entscheidende Faktor ist) eigentlich nicht regeln. Nur über das Verzögern von Quittungspaketen bei TCP-Verbindungen kannst Du in gewissen Grenzen (im Rahmen von Congestion Avoidance) das Senden von Daten durch den Server "begrenzen" ...

Beim Verzögern oder Verwerfen der Quittungen kann es passieren, dass der Server die Daten nochmal sendet, was die Datenmenge erhöht statt sie zu verringern.

Eine Möglichkeit wäre, das TCP Window zu verkleinern. Damit darf der Server erst gar nicht so viele Daten senden, bevor er eine Quittung bekommt, und je nach Latenz der Verbindung ergibt sich damit automatisch eine Obergrenze im Datenvolumen.
Allerdings gibt es meines Wissens keine fertige Option bei iptables, um das zu erreichen.

mrwhite- · 4 Dez 2014

Sry für die verspätete Antwort - ich kann mich auch erst am Wochenende wieder an die ganze Sache ransetzen. Dann werde ich jedem Fall den Hinweisen von PeterPawn und sf3978 nachgehen. Vielen Dank auf jeden Fall schon mal. Wäre ja zu gut wenn ich IPTables doch zum Laufen bringe. Der IP_Forward über den Access Point wäre echt klasse.

Eine mehr oder minder fertige Option ist genau das was ich brauche. Unglücklicherweise habe ich mich während meiner Jugend zu viel mit Gaming beschäftigt. In meinem Wirtschaftsinformatikstudium durfte ich Modellieren und bwl-lastige Theorien über mögliche Softwareinnovationen verfassen. Viele Detailinformationen in eueren Antworten sind für mich Neuland

. Das Grundverständnis ist aber da. Von daher habe ich momentan gemischte Gefühle aus Zuversicht/Hoffnung und Bahnhof

JohnDoe42 · 4 Dez 2014

Was wäre denn mit dem limit-Target von iptables ?

Code:

iptables -A FORWARD -s IPDESCLIENTS -p tcp -m limit --limit 3000/s -j ACCEPT			#TCP auf max. 3000 Pakete/Sekunde limitieren

Mit einer mittleren Paketlänge von 160 Bytes käme man nach meiner Rechnung bei ca. 3000 Paketen pro Sekunde auf ungefähr 4MBit/s.
Wenn es nicht aufs exakte Bit/s ankommt, würde ich das versuchen.
Ansonsten halt noch ein wenig mit dem Limit experimentieren.

mrwhite- · 11 Dez 2014

So ich hatte eben noch mal die Gelegenheit mich in die Sache reinzufinden. Beim Testen verschiedener Regeln / Lösungsansätze stoße ich aber immer wieder auf das gleiche Problem: iptables scheint auf dem Router zu laufen, lässt sich aber irgendwie nicht verwenden.

Folgendes bekomme ich wenn ich ip_tables über das CGI Modul starten will:

Code:

modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
rmmod: can't unload 'xt_tcpudp': unknown symbol in module, or unknown parameter
rmmod: can't unload 'xt_multiport': unknown symbol in module, or unknown parameter
rmmod: can't unload 'xt_MARK': unknown symbol in module, or unknown parameter
rmmod: can't unload 'xt_mac': unknown symbol in module, or unknown parameter
rmmod: can't unload 'x_tables': unknown symbol in module, or unknown parameter
rmmod: can't unload 'ipt_REJECT': unknown symbol in module, or unknown parameter
rmmod: can't unload 'ipt_LOG': unknown symbol in module, or unknown parameter
rmmod: can't unload 'ip_tables': unknown symbol in module, or unknown parameter
rmmod: can't unload 'iptable_filter': unknown symbol in module, or unknown parameter
modprobe: module iptable_filter not found in modules.dep
modprobe: module ip_tables not found in modules.dep
modprobe: module ipt_LOG not found in modules.dep
modprobe: module ipt_REJECT not found in modules.dep
modprobe: module x_tables not found in modules.dep
modprobe: module xt_mac not found in modules.dep
modprobe: module xt_MARK not found in modules.dep
modprobe: module xt_multiport not found in modules.dep
modprobe: module xt_tcpudp not found in modules.dep
Flushing rules and unloading modules ... done.
Loading modules ... done.
Loading table list ... done.

Falls ich unter Iptables -> Regeln versuche, testweise JohnDoe42's oder die folgende Regel zu laden ...

Code:

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.106 --dport 80 -j REDIRECT --to-ports 8118

... erhalte ich nachfolgende Log:

Code:

modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
rmmod: can't unload 'xt_tcpudp': unknown symbol in module, or unknown parameter
rmmod: can't unload 'xt_multiport': unknown symbol in module, or unknown parameter
rmmod: can't unload 'xt_MARK': unknown symbol in module, or unknown parameter
rmmod: can't unload 'xt_mac': unknown symbol in module, or unknown parameter
rmmod: can't unload 'x_tables': unknown symbol in module, or unknown parameter
rmmod: can't unload 'ipt_REJECT': unknown symbol in module, or unknown parameter
rmmod: can't unload 'ipt_LOG': unknown symbol in module, or unknown parameter
rmmod: can't unload 'ip_tables': unknown symbol in module, or unknown parameter
rmmod: can't unload 'iptable_filter': unknown symbol in module, or unknown parameter
modprobe: module iptable_filter not found in modules.dep
modprobe: module ip_tables not found in modules.dep
modprobe: module ipt_LOG not found in modules.dep
modprobe: module ipt_REJECT not found in modules.dep
modprobe: module x_tables not found in modules.dep
modprobe: module xt_mac not found in modules.dep
modprobe: module xt_MARK not found in modules.dep
modprobe: module xt_multiport not found in modules.dep
modprobe: module xt_tcpudp not found in modules.dep
iptables-restore: line 1 failed
Flushing rules and unloading modules ... done.
Loading modules ... done.
Loading table list ... done.

Versuche ich das Ganze manuell im Telnet, dann passiert folgendes:

Code:

$ telnet 192.168.1.1
Trying 192.168.1.1...
Connected to 192.168.1.1.
Escape character is '^]'.
Whitehouse-Basis login: root
Password:
   __  _   __  __ ___ __
  |__ |_) |__ |__  |   /
  |   |\  |__ |__  |  /_

   The fun has just begun ...


BusyBox v1.22.1 (2014-11-27 17:46:37 CET) built-in shell (ash)
Enter 'help' for a list of built-in commands.

root@Whitehouse-Basis:/var/mod/root# modprobe ip_tables
modprobe: module ip_tables not found in modules.dep

root@Whitehouse-Basis:/var/mod/root# iptables --help
iptables v1.4.11.1
Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
       iptables -[LS] [chain [rulenum]] [options]
       iptables -[FZ] [chain] [options]
       iptables -[NX] chain
       iptables -E old-chain-name new-chain-name
       iptables -P chain target [options]
       iptables -h (print this help information)

Commands:
Either long or short options are allowed.
  --append  -A chain            Append to chain
  --check   -C chain            Check for the existence of a rule
  --delete  -D chain            Delete matching rule from chain
  --delete  -D chain rulenum
                                Delete rule rulenum (1 = first) from chain
  --insert  -I chain [rulenum]
                                Insert in chain as rulenum (default 1=first)
  --replace -R chain rulenum
                                Replace rule rulenum (1 = first) in chain
  --list    -L [chain [rulenum]]
                                List the rules in a chain or all chains
  --list-rules -S [chain [rulenum]]
                                Print the rules in a chain or all chains
  --flush   -F [chain]          Delete all rules in  chain or all chains
  --zero    -Z [chain [rulenum]]
                                Zero counters in chain or all chains
  --new     -N chain            Create a new user-defined chain
  --delete-chain
            -X [chain]          Delete a user-defined chain
  --policy  -P chain target
                                Change policy on chain to target
  --rename-chain
            -E old-chain new-chain
                                Change chain name, (moving any references)
Options:
    --ipv4      -4              Nothing (line is ignored by ip6tables-restore)
    --ipv6      -6              Error (line is ignored by iptables-restore)
[!] --proto     -p proto        protocol: by number or name, eg. `tcp'
[!] --source    -s address[/mask][...]
                                source specification
[!] --destination -d address[/mask][...]
                                destination specification
[!] --in-interface -i input name[+]
                                network interface name ([+] for wildcard)
 --jump -j target
                                target for rule (may load target extension)
  --goto      -g chain
                              jump to chain with no return
  --match       -m match
                                extended match (may load extension)
  --numeric     -n              numeric output of addresses and ports
[!] --out-interface -o output name[+]
                                network interface name ([+] for wildcard)
  --table       -t table        table to manipulate (default: `filter')
  --verbose     -v              verbose mode
  --line-numbers                print line numbers when listing
  --exact       -x              expand numbers (display exact values)
[!] --fragment  -f              match second or further fragments only
  --modprobe=<command>          try to insert modules using this command
  --set-counters PKTS BYTES     set the counter during insert/append
[!] --version   -V              print package version.

root@Whitehouse-Basis:/var/mod/root# ip_tables --version
-sh: ip_tables: not found

root@Whitehouse-Basis:/var/mod/root# iptables -t nat -A PREROUTING -p tcp -s 192.168.1.106 --dport 80 -j REDIRECT --to-ports 8118
modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Bzgl ip_tables stellen sich mir also folgende Fragen:
- WTF?
- Wäre meine Regel überhaupt passend?
- JohnDoe42's Regel gilt für alle Geräte im Haus, richtig?

Zu sf3978's Idee: Hm. In etwa sowas wollte ich auf meinem Access Point Router konfigurieren. Ich glaube nur irgendwie, dass der in dem Modus gar nicht erst aktiv irgendwelche Ip-Table Geschichten behandelt. Oder sollte er das dennoch tun?

Viele Grüße,
Benni

JohnDoe42 · 11 Dez 2014

Äh, kurze Zwischenfrage:

Du hast das Image mit ersetztem Kernel gebaut ? Und weißt, daß in diesem Fall das connection-tracking (welches Du für Dein Vorhaben benötigst), auf einer 7390 infolge "zu altem" Kernels instabil ist ?

mrwhite- · 15 Dez 2014

Ich glaube nicht. Bin der Standard-Anleitung im Wiki gefolgt und habe lediglich die Packete IPTables und Privoxy hinzugefügt.

Abgesehen vom Connection-Tracking ist es doch aber auch sehr komisch, dass ich iptables gar nicht erst zum Laufen bekomme, oder?

JohnDoe42 · 15 Dez 2014

Woher weißt Du denn sicher, daß Dein connection-tracking funktioniert ?
Kannst Du mal bei ein paar geladenen Regeln die Ausgabe von

Code:

lsmod

und

Code:

iptables -nvL

posten ?

Nach meinem Kenntnisstand setzt ein connection-tracking zwingend einen ersetzten Kernel voraus.

mrwhite- · 15 Dez 2014

Ich weiß gar nichts sicher :-D. Aber selbst wenn connection-tracking nicht funktioniert, dann sollte es doch trotzdem möglich sein iptables zu laden, oder? (siehe Beitrag #11)

Hier mal die Ausgaben:

Code:

root@Whitehouse-Basis:/var/mod/root# lsmod
Module                  Size  Used by    Tainted: P
xt_mark                 1568  0
userman_mod            72784  4
ath_pktlog             16912  0
umac                  659136  1 ath_pktlog
ath_dev               211488  2 ath_pktlog,umac
ath_dfs                48704  2 umac,ath_dev
ath_spectral           62176  2 umac,ath_dev
ath_rate_atheros       28496  3 ath_pktlog,umac,ath_dev
ath_hal               646832  4 ath_pktlog,umac,ath_dev,ath_rate_atheros
asf                    10704  5 umac,ath_dev,ath_dfs,ath_spectral,ath_hal
adf                    19600  3 umac,ath_dev,ath_hal
atmdriver_lkm        1803616  0
sch_sfq                 6080  4
sch_llq                 8704  1
sch_tbf                 4960  1
avm_pa_fusiv           20768  0
aae                   151696  4 umac,ath_dev,ath_dfs,ath_hal
kdsldmod             1541840  9 userman_mod
ohci_hcd               17712  0
ehci_hcd               30896  0
usbcore               119552  3 ohci_hcd,ehci_hcd
ramzswap               16288  1
lzo_compress            2016  1 ramzswap
lzo_decompress          2272  1 ramzswap
nls_utf8                1344  0
vfat                   10336  0
fat                    49776  1 vfat
dect_io                12608  0
avm_dect              238096  1 dect_io
capi_codec            352176  0
isdn_fbox_fon5        746960  5
pcmlink               307744  4 avm_dect,capi_codec,isdn_fbox_fon5
Piglet_noemif          30032  0
bmedrv                  7376  0
opensrc_lkm             1632  1 bmedrv
aclap_driver_lkm       19536  2 atmdriver_lkm,avm_pa_fusiv
sysKCode_lkm           23248  0
ethdriver_lkm          43824  1 aclap_driver_lkm
periap_driver_lkm      15456  1 ethdriver_lkm
timers_lkm              5200  2 atmdriver_lkm,ethdriver_lkm
bmdriver_lkm           12880  1 atmdriver_lkm
ap2ap_lkm              23808  6 atmdriver_lkm,kdsldmod,aclap_driver_lkm,sysKCode_lkm,ethdriver_lkm,bmdriver_lkm
fusivlib_lkm           59152 10 atmdriver_lkm,avm_pa_fusiv,kdsldmod,bmedrv,aclap_driver_lkm,sysKCode_lkm,ethdriver_lkm,periap_driver_lkm,bmdriver_lkm,ap2ap_lkm
rtc_avm                 5264  1 pcmlink
rtc_core               13520  1 rtc_avm
led_modul_Fritz_Box_7390    79824  4

root@Whitehouse-Basis:/var/mod/root# iptables -nvL
modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Meinst du ich sollte einfach mal den Kernel ersetzen? Sollte dann alles so funktionieren, wie ich es vor habe?

JohnDoe42 · 15 Dez 2014

In Deiner Fehlermeldung steht es schon:

mrwhite- schrieb:
modprobe: module ip_tables not found in modules.dep
iptables v1.4.11.1: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Und wie man anhand der geladenen Module sieht, ist kein einziges "iptable-spezifisches" Modul geladen. Weil es nicht Teil des Images auf der Box ist. Und dies ist so, weil es mittles eines ersetzten Kernels nicht gebaut wurde.

1. Du mußt den Kernel ersetzen.
2. Für den Fall, daß Du meinen Vorschlag aus #10 versuchen möchtest, mußt Du nach dem Limit-Target in der Kernel-Config suchen.
3. Es besteht eine gewisse Wahrscheinlichkeit, daß die Box mit einem solchen Image in einer Reboot-Schleife endet. Also: Recovery und Sicherungen bereitlegen.

mrwhite- · 15 Dez 2014

Ohje :-(. Aber das ist doch ein älterer Kernel, oder?! Naja, dann bleibt mir wohl nichts anderes übrig ... Auf jeden Fall schon einmal vielen Dank!!!

JohnDoe42 · 15 Dez 2014

Der Kernel ist 2.6.28.* .
Mit diesem geht, zumindest bei den 7390, die ich bisher in diesem Zusammenhang betrieben habe, auf gar keinen Fall volles NAT (also das Bauen und Laden des Moduls nf_nat) -> Reboot-Schleife.

Ich würde zunächst mal den Kernel mit der von AVM gelieferten Konfiguration ersetzen (also make kernel-menuconfig und direkt verlassen, im make menuconfig Replace Kernel auswählen), das Image flashen und schauen, ob die Box damit stabil läuft. Dann kannst Du versuchen, das Modul xt_limit einzubinden.

Desweiteren: Wenn über die Box nicht über den S0-Bus telefoniert wird, würde ich mal darüber nachdenken, die 7390 gegen eine 7360 zu tauschen. Das sollte sich bei großen Online-Auktionsportalen aktuell preislich gerade ausgehen.

Die 7360 hat den neueren Kernel und nach meinem Dafürhalten ein besseres DSL-Modem.

mrwhite- · 15 Dez 2014

Schade, dass eine Lösung meines Problems so kompliziert sein muss :-/. Ich glaube, das ist mir alles zu umständlich und etwas zu heikel. Evtl. schaue ich mir das ganze am Wochenende aber doch noch an. In jedem Fall zu guter Letzt und zumindest bis dahin noch einmal: DANKE.

Kubus0815 · 16 Mrz 2016

Hallo zusammen,
ich habe ein denke ich ähnliches Vorhaben wie der Threadersteller.
Ich habe einen Amazon Fire TV Stick den ich mit einem LTE Volumentarif betreiben möchte.
Mein Problem ist nun der enorme Datenverbrauch.
Es gibt keine Möglichkeit die Videoqualität manuell einzustellen.
Die einzige mir bekannte Möglichkeit ist den Downstream auf <3500kbits zu begrenzen dann wechselt der Stick automatisch auf SD Qualität.
Ich würde nun gerne auf meiner Fritzbox 6840 Freetz mit iptables installieren und damit den Downstream einer IP limitieren.
Bin ich auf dem richtigen Weg dahin oder kennt jemand eine andere/bessere Möglichkeit?

IP-spezifische Netzdrossel / Transparentes Proxy / Traffic Shaping

Neuer User

IPPF-Urgestein

Neuer User

IPPF-Urgestein

Neuer User

IPPF-Urgestein

IPPF-Promi

IPPF-Urgestein

Neuer User

Aktives Mitglied

Neuer User

Aktives Mitglied

Neuer User

Aktives Mitglied

Neuer User

Aktives Mitglied

Neuer User

Aktives Mitglied

Neuer User

Neuer User

Statistik des Forums