GIT.Harvie.CZ / svn / Prometheus-QoS / .git / blobdiff
? search:
summary | shortlog | log | commit | commitdiff | tree
raw | inline | side by side
simple iptables based packet limiter to deflect DoS attacks on our clients
[svn/Prometheus-QoS/.git] / prometheus.c
diff --git a/prometheus.c b/prometheus.c
index b5f610be06f59aedc3f3370d8abe5ba0a1e78f2e..c88857b6268e57d9767d419573c0afb15f8c501b 100644 (file)
--- a/prometheus.c
+++ b/prometheus.c
@@ -1,12 +1,13 @@
 /* - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - */\r
-/* Prometheus QoS - you can "steal fire" from your ISP         *//* "fair-per-IP" quality of service (QoS) utility              */\r
+/* Prometheus QoS - you can "steal fire" from your ISP         */\r
+/* "fair-per-IP" quality of service (QoS) utility              */\r
 /* requires Linux 2.4.x or 2.6.x with HTB support              */\r
 /* Copyright(C) 2005-2013 Michael Polak, Arachne Aerospace     */\r
 /* iptables-restore support Copyright(C) 2007-2008 ludva       */\r
 /* Credit: CZFree.Net,Martin Devera,Netdave,Aquarius,Gandalf  */\r
 /* - - - - - - - - - - - - - - - - - - - - - - - - - - - - - */\r
 \r
-/* Modified by: xChaos, 20130124\r
+/* Modified by: xChaos, 20131118\r
                  ludva, 20080415\r
  \r
    Prometheus QoS is free software; you can redistribute it and/or\r
@@ -28,7 +29,7 @@
 #include "cll1-0.6.2.h"\r
 #include "ipstruct.h"\r
 \r
-const char *version = "0.8.3-i";\r
+const char *version = "0.8.3-j";\r
 \r
 /* - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - */\r
 /* Versions: 0.8.3 is development release, 0.8.4 will be "stable"  */\r
@@ -117,10 +118,6 @@ int     magic_treshold = 8; /* reduce ceil by X*magic_treshhold kbps (hard shapi
 int       keywordcount = 0;\r
 int        class_count = 0;\r
 int           ip_count = 0;\r
-/* not yet implemented:\r
-int      fixed_packets = 0; maximum number of pps per IP address (not class!) \r
-int       packet_limit = 5; maximum number of pps to htn CEIL, not rate !!! \r
-*/\r
 FILE         *log_file = NULL;\r
 char              *kwd = "via-prometheus"; /* /etc/hosts comment, eg. #qos-64-128 */\r
 \r
@@ -131,7 +128,7 @@ const int idxtable_treshold2 = 12;      /* this is no longer configurable */
 const int idxtable_bitmask1  = 3;        /* this is no longer configurable */\r
 const int idxtable_bitmask2  = 3;        /* this is no longer configurable */\r
 \r
-struct IP *ips = NULL, *ip, *sharedip;\r
+struct IP *ips = NULL, *networks = NULL, *ip, *sharedip;\r
 struct Group *groups = NULL, *group;\r
 struct Keyword *keyword, *defaultkeyword=NULL, *keywords=NULL;\r
 \r
@@ -153,6 +150,10 @@ void write_json_traffic(char *json);
 void write_htmlandlogs(char *html, char *d, int total, int just_preview);\r
 /* implemented in htmlandlogs.c */\r
 \r
+void analyse_topology(char *traceroute);\r
+/* implemented in networks.c */\r
+\r
+\r
 const char *tr_odd_even(void)\r
 {\r
  row_odd_even = 1 - row_odd_even;\r
@@ -336,10 +337,10 @@ void get_config(char *config_filename)
  /* leaf discipline for keywords */\r
  for_each(keyword,keywords)\r
  {\r
-    if(!strcmpi(keyword->leaf_discipline, ""))\r
-    {\r
-        keyword->leaf_discipline = qos_leaf;\r
-    }\r
+  if(!strcmpi(keyword->leaf_discipline, ""))\r
+  {\r
+   keyword->leaf_discipline = qos_leaf;\r
+  }\r
  }\r
 \r
  if(strcmpi(cnf, "mark"))\r
@@ -464,13 +465,16 @@ program
  int i=0;                    /* just plain old Fortran style integer :-) */\r
  FILE *f=NULL;               /* everything is just stream of bytes... */\r
  char *str, *ptr, *d;        /* LET A$=B$ :-) */\r
- char *substring;\r
+ char *substring, *limit_pkts;\r
 \r
  int parent        = 1;\r
+ int just_networks = FALSE;  \r
  int just_flush    = FALSE;       /* deactivates all previous actions */\r
  int nodelay       = FALSE;\r
  int just_preview  = FALSE;       /* preview - generate just stats */\r
  int start_shaping = FALSE;       /* apply FUP - requires classmap file */\r
+ int stop_shaping  = FALSE;       /* lift FUP - requires classmap file */\r
+ int reduce_ceil     = 0;           /* allow only rate+(ceil-rate)/2, /4, etc. */\r
  int just_logs     = FALSE;       /* just parse logs */\r
  int run           = FALSE;\r
  int total         = 0;\r
@@ -493,9 +497,13 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
   argument("-f") { run=TRUE; just_flush=TRUE; }\r
   argument("-9") { run=TRUE; just_flush=9; }\r
   argument("-p") { run=TRUE; just_preview=TRUE; }\r
+  argument("-q") { run=TRUE; just_preview=TRUE; stop_shaping=TRUE; }\r
+  argument("-2") { run=TRUE; just_preview=TRUE; reduce_ceil=2; }\r
+  argument("-4") { run=TRUE; just_preview=TRUE; reduce_ceil=4; }\r
   argument("-s") { run=TRUE; just_preview=TRUE; start_shaping=TRUE; }\r
   argument("-r") { run=TRUE; }\r
   argument("-n") { run=TRUE; nodelay=TRUE; }\r
+  argument("-a") { run=TRUE; just_networks=TRUE; }\r
   argument("-l") { just_logs=TRUE; }\r
   argument("-m") { just_logs=TRUE; }\r
   argument("-y") { just_logs=TRUE; }\r
@@ -530,7 +538,7 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
 \r
  if(althosts)\r
  {\r
-  hosts=althosts;\r
+  hosts = althosts;\r
  }\r
 \r
  if(just_flush<9)\r
@@ -549,26 +557,33 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
  }\r
 \r
  /*-----------------------------------------------------------------*/\r
- printf("Parsing class defintion file %s ...\n", hosts);\r
+ /* cll1.h - let's allocate brand new character buffer...           */\r
  /*-----------------------------------------------------------------*/\r
- parse_hosts(hosts);\r
+ string(str, STRLEN); \r
+ string(limit_pkts, STRLEN);\r
 \r
  /*-----------------------------------------------------------------*/\r
- /* cll1.h - let's allocate brand new character buffer...           */\r
+ printf("Parsing class defintion file %s ...\n", hosts);\r
  /*-----------------------------------------------------------------*/\r
- string(str,STRLEN); \r
+ parse_hosts(hosts);\r
+ if(just_networks)\r
+ {\r
+  analyse_topology("/usr/sbin/traceroute -n -m 10 -w 2 %s.%d");\r
+  exit(-1); \r
+ }\r
 \r
  /*-----------------------------------------------------------------*/\r
  puts("Resolving shared connections ...");\r
  /*-----------------------------------------------------------------*/\r
- for_each(ip,ips) if(ip->sharing)\r
+ for_each(ip, ips) if(ip->sharing)\r
  {\r
-  for_each(sharedip,ips) if(eq(sharedip->name,ip->sharing))\r
+  for_each(sharedip, ips) if(eq(sharedip->name, ip->sharing))\r
   {\r
-   sharedip->traffic+=ip->traffic;\r
-   ip->traffic=0;\r
-   ip->mark=sharedip->mark; \r
-   ip->lmsid=sharedip->lmsid;\r
+   sharedip->traffic += ip->traffic;\r
+   ip->traffic = 0;\r
+   ip->mark = sharedip->mark; \r
+   ip->lmsid = sharedip->lmsid;\r
+   ip->pps_limit = sharedip->pps_limit; /* no other way to do this */\r
    break;\r
   }\r
   if(not sharedip)\r
@@ -630,8 +645,7 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
   {\r
     perror(cmdlog);\r
     exit(-1);\r
-  }\r
-  \r
+  }  \r
   \r
   sprintf(str,"%s qdisc del dev %s root 2>/dev/null",tc,lan);\r
   safe_run(str);\r
@@ -977,7 +991,7 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
 \r
  if(just_preview)\r
  {\r
-  if(start_shaping)\r
+  if(start_shaping || stop_shaping || reduce_ceil)\r
   {\r
    printf("Reading %s and applying Fair Use Policy rules ... \n", classmap);\r
    parse(classmap)\r
@@ -990,9 +1004,21 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
      if_exists(ip,ips,eq(ip->addr,_))\r
      {\r
       ip->mark=atoi(ptr);\r
-      if(ip->max < ip->desired) /* apply FUP limit immediately.... */\r
+      if(ip->max < ip->desired || stop_shaping || reduce_ceil) /* apply or disable FUP limit immediately.... */\r
       {\r
-       printf("Applying limit for %-22s %-16s %04d ", ip->name, ip->addr, ip->mark);       \r
+       if(stop_shaping)\r
+       {\r
+        ip->max = ip->desired;\r
+        printf("Removing limit for %-22s %-16s %04d ", ip->name, ip->addr, ip->mark);               \r
+       }\r
+       else\r
+       {\r
+        printf("Applying limit for %-22s %-16s %04d ", ip->name, ip->addr, ip->mark);\r
+        if(reduce_ceil)\r
+        {\r
+         ip->max = ip->min + (ip->desired-ip->min)/reduce_ceil;\r
+        }\r
+       }\r
        printf("(down: %dk-%dk ", ip->min, ip->max); \r
        sprintf(str, "%s class change dev %s parent 1:%d classid 1:%d htb rate %dkbit ceil %dkbit burst %dk prio %d", \r
                     tc, lan, ip->group, ip->mark,ip->min,ip->max, burst, ip->prio);\r
@@ -1013,6 +1039,7 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
     perror(classmap);\r
     puts("Warning - classmap file not fund, just generating preview ...");\r
     start_shaping=FALSE;\r
+    stop_shaping=FALSE;\r
    }\r
    done; /* ugly macro end */\r
   }\r
@@ -1040,6 +1067,15 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
   {\r
    swchar='s';\r
   }\r
+  else if(reduce_ceil)\r
+  {\r
+   swchar='0'+reduce_ceil; /* -2, -4 */\r
+  }\r
+  else if(stop_shaping)\r
+  {\r
+   swchar='q';\r
+  }\r
+\r
   printf("Statistics preview generated (-%c switch) - now exiting ...\n", swchar);\r
   exit(0);\r
  }  \r
@@ -1098,19 +1134,24 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
   /* -------------------------------------------------------- mark download */\r
   \r
   sprintf(str, "-A %s -d %s/%d -o %s -j %s%d",\r
-               chain_postrouting, ip->addr, 32*(1+ip->v6), lan, mark_iptables, ip->mark);\r
+               chain_postrouting, ip->addr, 32*(1+ip->v6),\r
+               lan, mark_iptables, ip->mark);\r
   /* -m limit --limit 1/s */  \r
   iptables_save_line(str, ip->v6);\r
 \r
   if(qos_proxy)\r
   {\r
    sprintf(str, "-A %s -s %s -p tcp --sport %d -d %s/%d -o %s -j %s%d",\r
-                chain_postrouting, proxy_ip, proxy_port, ip->addr, 32*(1+ip->v6), lan, mark_iptables, ip->mark);\r
+                chain_postrouting, proxy_ip, proxy_port, ip->addr,\r
+                32*(1+ip->v6), lan, mark_iptables, ip->mark);\r
    iptables_save_line(str, ip->v6);\r
   }\r
 \r
-  sprintf(str, "-A %s -d %s/%d -o %s -j ACCEPT",\r
-               chain_postrouting, ip->addr, 32*(1+ip->v6), lan);\r
+  /* this will be optional in future - hardcoded for now*/\r
+  sprintf(limit_pkts,"-m limit --limit %d/s ", ip->pps_limit);\r
+\r
+  sprintf(str, "-A %s -d %s/%d -o %s %s-j ACCEPT",\r
+               chain_postrouting, ip->addr, 32*(1+ip->v6), lan, limit_pkts);\r
   iptables_save_line(str, ip->v6);\r
 \r
   /* -------------------------------------------------------- mark upload */\r
@@ -1118,8 +1159,8 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
                chain_forward, ip->addr, 32*(1+ip->v6), wan, mark_iptables, ip->mark);\r
   iptables_save_line(str, ip->v6);\r
 \r
-  sprintf(str, "-A %s -s %s/%d -o %s -j ACCEPT",\r
-               chain_forward, ip->addr, 32*(1+ip->v6), wan);\r
+  sprintf(str, "-A %s -s %s/%d -o %s %s-j ACCEPT",\r
+               chain_forward, ip->addr, 32*(1+ip->v6), wan, limit_pkts);\r
   iptables_save_line(str, ip->v6);\r
 \r
   if(ip->min)\r
@@ -1130,7 +1171,7 @@ Credit: CZFree.Net, Martin Devera, Netdave, Aquarius, Gandalf\n\n",version);
 #endif\r
 \r
    sprintf(str, "%s class add dev %s parent 1:%d classid 1:%d htb rate %dkbit ceil %dkbit burst %dk prio %d", \r
-                tc, lan, ip->group, ip->mark,ip->min,ip->max, burst, ip->prio);\r
+                tc, lan, ip->group, ip->mark, ip->min, ip->max, burst, ip->prio);\r
    safe_run(str);\r
 \r
    if(strcmpi(ip->keyword->leaf_discipline, "none"))\r
https://dev.arachne.cz/repos/prometheus/trunk (mirrored @ Fri, 19 Apr 2024 01:30:05 +0200)
This page took 0.194662 seconds and 4 git commands to generate.