v1.2版的脚本已经实现了通过Web网页监控流量的功能，可惜受root权限的影响，没有达到实时的效果，也就是显示我访问Web网页所在一刻的流量。要解决这问题，就需要在Web页面上可调用iptables命令。幸亏通过这两天的测试，我已经实现了让apache可执行本地及远程需root权限的命令。OK，既然前提条件都解决了，脚本的编写就简单了。

    从功能的角度来说，ipflow.pl和banip.sh已经基本满足我的要求。但使用中，还有个问题：每次查看想查看网络流量时，都必须登陆到路由网关服务器上运行ipflow.pl脚本，太麻烦了。所以，接下来我要做的，就是把输出结果进行格式化，显示为HTML样式。这样，我只要通过浏览器就能知道大概的网络流量。（为什么是大概呢？因为结果并不是实时的，而是对上一次crontab运行的时间段的结果）

    昨天，介绍了如何在网关上利用iptables实现监控各客户端IP流量的原理，并且提供了一个简单的监控脚本。今天，我继续修改完善该脚本，工作的目标是：希望可定时运行该脚本，当发现超出限定流量的客户端时，暂时终止其IP。

    相信不少朋友都知道，使用Linux搭建路由网关，提供nat上网服务是非常简单的事情，而且性能也不错。但现在p2p的工具很多，有时候带宽会被这些工具在无意中就占满了（例如：使用迅雷、BT下载等）。这时候，总希望看看到底是谁在占用带宽。这样的工具有很多，如ntop、bandwidthd、iftop、IPTraf、MRTG等等，它们也提供了非常方便的图形监控界面，操作也非常简单。可惜，它们都有一些缺点，像实时性不够、IP流量分散、需要使用Web来查看等，恰好这些就是好我需要的。
    为此，我利用iptables的统计功能，编写了一个小脚本来实现要求。（原想用Perl的Net::Pcap模块的对数据包解码统计的，但既然有现成的，为什么不用呢？）O(∩_∩)O哈哈~

    整理资料时，从旧文档中找到的一幅，关于iptables对数据包进行处理的流程图，供大家参考：

   使用p2p软件下载的客户端会建立了很多的tcp连接，导致网关负载太重，上网速度很慢。而iptables的connlimit模块，可以限制用户的tcp连接数，以下是给iptables加载模块的步骤和过程。

一、系统平台

系统自带的iptalbes版本为1.2.1，版本太低，加载connlimit补丁很麻烦。为保持较好的兼容性，我决定使用Asianux 3.0上的1.3.5版本。

   昨天就IMQ如何加入红旗Linux核心及iptables进行了说明。如果你嫌麻烦，也可以使用我已经编译好的一些rpm包。

   IMQ（Intermediate queueing device）中介队列设备通常用于解决两个问题：

   简单来说，IMQ可以让你往一个队列规定中放任何东西，例如对刚刚进入网卡的数据包打上标记去进行入口整形等。但由于一些原因，IMQ设备并没有加入Linux的标准核心中，所以，使用前需要先单独编译。

 iptables是Linux内核带的防火墙，结合Linux强大的路由功能，可以实现达到非常出色的性能并能满足大部分企业使用的要求。下面我就用一个常用的案例说明一下。

一、网络拓扑图
 下面是示例中使用的架构：

  元旦出外逛了逛，回来马上就上班，挺累的。
 好久以前就接触过iptables，也就是刚学习linux的时候，几乎每个人都是先从用他做防火墙开始认识的。但今天，我重新回顾了一下iptables，感觉理解的东西不一样了，有兴趣就写写。