Reflexion sur QOS et connexion ADSL

[braouazou]

Bonjour !

Je souhaite implémenter une solution de contrôle de trafic / QOS sur mon firewall (Debian Sarge 2.4.28 ) dans le but de lisser le trafic (que les gros downloads ne gênent pas la navigation par exemple).

J'ai une connexion 2048/128 chez Wanadoo.
En DMZ, je possède un serveur qui fait à peu près tout (mail, http, ftp). J'héberge dessus mon site perso, mais je m'en sers essentiellement pour les mails et le webmail quand je ne suis pas chez moi.
Sur le LAN, 2 machines.

Selon vous, quelle serait la meilleure solution à implémenter pour équilibrer au mieux les charges ?

Je veux pouvoir naviguer tout en téléchargeant, que les uploads gênent le moins possible le reste du réseau, et ne pas perdre trop non plus en terme de bande passante : j'ai essayé de mettre en place wondershaper, qui semble correspondre pas mal à ce que je veux faire, mais le problème est qu'aprè différents tests, je dois limiter mon upload à 90 kbps environ pour que les files d'attente commencent à être utilisées (et 128 c'est déjà pas beaucoup )

Je pourrais également utiliser les règles de tc de shorewall, mais je trouve que c'est un peu restrictif. Qu'en pensez-vous ?

Avez-vous mis en place de telles solutions ? Avez-vous des exemples concrets ?

Merci par avance pour vos retours d'expérience !

@++

[Oliv']

Salut,

j'ai déjà essayé de mettre en oeuvre des mécanismes de QoS dans les 2 sens... autant en download les résultats étaient satisfaisant (algo HTB) autant en upload je n'ai jamais été satisfait du résultat (aussi du 128Kb)... HTB n'est pas assez précis pour gérer un débit aussi faible... CBQ allait un poil mieux, mais pas top. et j'ai aussi tenté le patch IMQ qui lui m'a donné les meilleurs résultats.
Mais après faut voir que de toute manière la QoS en upload (avec connexion ADSL) est très limité du fait de la présence du modem avant...

Oliv'

[JBJBJB171717]

Je suis entrain de faire une interface web pour gerer la bande passante avec ipcop, ca sera peu etre possible de la porté sur debian ensuite je pense. Pas grd chose à modifier.
Et sinon j'ai aussi l'adsl, les règles "tc..." avec imq ca marche très bien, g casiment pas de perte de paquets..., en plus il peut etre associé à layer7, ca permet de filtrer suivant un protocole au niveau 7 du modèle OSI....

A+

[braouazou]

Merci à vous pour vos réponses !

Concernant CBQ, j'ai un peu regardé, sans essai concret, mais ça n'a pas l'air d'être très évident à mettre en place...
Pour IMQ, je vais essayer de me plonger dedans, j'avais prévu le coup en patchant mon noyau
Il ne me reste qu'à reconstruire iptables et faire quelques essais !

Vous avez des exemples de scripts qui correspondrait à mes attentes ?
J'ai bien vu celui de lea-linux (qui fait appel à plusieurs files), mais ça en reste là.

Merci encore !

@+

[Oliv']

quand j'avais je m'étais inspiré du Howto "ADSL Bandwidth management" et des liens qu'il fournissait (http://www.tldp.org/HOWTO/ADSL-Bandwidth-Management-HOWTO/) et du site Linux Advanced Routing & Traffic Control (http://lartc.org/) et forcément du site IMQ (http://www.linuximq.net/)
DSL mais il n'y en a pas un en français
Enfin normalement avec le script de l'ADSL bandwidth management, tu devrais avoir une bonne base de départ (il intégre IMQ)

Oliv'

[JBJBJB171717]

Si tu veux il y a plein d'exemple de script ici :

http://forums.fr.ixus.net/viewtopic.php?t=21594&highlight=imq

[braouazou]

Merci, je vais aller y jeter un oeil dès que j'aurai réussi à recompiler iptables.
Mais je vois qu'il s'agit beaucoup de layer 7 qui ne m'intéresse pas vraiment. Enfin je verrai !

Si quelqu'un a des tuyaux pour la recompilation d'un tel paquet pour Sarge, car là je galère !

Voilà comment je procède (il manque quelquechose, mais je ne sais pas quoi) :
- Je récupère les sources par : apt-get source iptables
- J'ajoute le patch IMQ dans le répertoire patches/all (je le nomme
009imq.patch par convention). D'après ce que je vois, tous les patches de ce
répertoires sont appliqués aux sources.
- Je construis le paquet avec : fakeroot ./debian/rules binary

Seulement, quand j'installe le paquet et essaye une règle IMQ, j'obtiens ce
message :
iptables v1.2.11: Couldn't load target `IMQ':/lib/iptables/libipt_IMQ.so:
cannot open shared object file: No such file or directory

En extrayant le contenu du paquet obtenu, en effet, il n'y a pas cette
extension.

dans le répertoire debian/build/, j'ai un répertoire extensions dans lequel je
trouve bien libip6t_IMQ.c et libipt_IMQ.c ainsi que deux fichiers cachés
(.IMQ-test et .IMQ-test6) qui testent si le noyau a bien été patché pour
IMQ :
#!/bin/sh
# True if IMQ target patch is applied.
[ -f $KERNEL_DIR/net/ipv4/netfilter/ipt_IMQ.c ] && echo IMQ

Bien sûr, le noyau 2.4.26 qui sert à la compilation de iptables n'est pas
patché. Quelles sont donc mes options pour arriver à mes fins ?
Supprimer le test serait suffisant ? Mais comment ?

En attendant, je peux toujours récupérer l'archive pour Woody ( http://debian.nix.hu/debian/dists/woody ... nary-i386/ ) et utiliser le fichier libipt_IMQ.so, mais ce n'est pas très propre ! Je préfèrerais passer par une méthode disons plus instructives

@++

[Oliv']

http://wiki.nix.hu/cgi-bin/twiki/view/IMQ/HowToInstall
après pour le patchage d'iptables, c'est du classique... je pense qu'il faut juste avant de recompiler iptables, faire ./configure et bien regarder s'il n'y a pas une option à activer lors du ./configure pour qu'il prenne en compte IMQ.

Oliv'

[braouazou]

Merci pour ce lien.
Le souci c'est que je veux faire ça "à la Debian" (donc recompiler à partir du paquet source pour reconstruire un paquet .deb) - c'est plus pédagogique qu'autre chose

J'ai essayé de recompiler d'autres paquets plus "simples", sans problème, mais là, pas du gateau pour moi.

Si tu as des infos... je suis preneur !

Quant aux scripts, j'en ai testé quelques un en regardant très rapidement les parties upload, et je constate certaines bizareries (du genre, en mettant le http à la priorité maximale, et en abaissant la priorité des autres protocoles, le débit reste coincé à 10 ko/s maxi, contre 15 ou 16 sans imq! je vais creuser cela, mais après avoir résolu mon problème avec iptables, c'est peut-être lié!).

@+