Freesco, NND, CDN, EOS

Sziedząc sobie przy kompie i sącząc resztki kawy napisałem sobie coś takiego.
Ma to znakować pakiety p2p, DROP a reszte limitować do 50/s na udp i tcp
Znakuje pieknie
DROPuje pieknie
i tu jest problem nie limituje
co jest nietak??
####wpisy wyglądaja tak ##############################
iptables -A POSTROUTING -t mangle -p tcp -m ipp2p --ipp2p -j MARK --set-mark 0xa0
iptables -A POSTROUTING -t mangle -p udp -m ipp2p --ipp2p -j MARK --set-mark 0xa0
iptables -A POSTROUTING -t mangle -p udp -m mark --mark 0xa0 -j DROP
iptables -A POSTROUTING -t mangle -p tcp -m mark --mark 0xa0 -j DROP
iptables -A POSTROUTING -t mangle -p tcp -m mark --mark 0xa0 -m
limit --limit 50/s -j ACCEPT
iptables -A POSTROUTING -t mangle -p udp -m mark --mark 0xa0 -m limit --limit 50/s -j ACCEPT
################################################
NND przyjmuje je bez jęknięcia
################################################
iptables -v -L -t mangle
############### daje efekt taki #####################
Chain POSTROUTING (policy ACCEPT 1018K packets, 470M bytes)
pkts bytes target prot opt in out source destination
565K 361M TTL all -- any eth1 anywhere anywhere TTL set to 1
1084 153K MARK tcp -- any any anywhere anywhere ipp2p v0.7.4 --ipp2p MARK set 0xa0
730 45434 MARK udp -- any any anywhere anywhere ipp2p v0.7.4 --ipp2p MARK set 0xa0
730 45434 DROP udp -- any any anywhere anywhere MARK match 0xa0
1084 153K DROP tcp -- any any anywhere anywhere MARK match 0xa0
0 0 ACCEPT tcp -- any any anywhere anywhere MARK match 0xa0 limit: avg 50/sec burst 5
0 0 ACCEPT udp -- any any anywhere anywhere MARK match 0xa0 limit: avg 50/sec burst 5
###############################################

CO jest nietak????

dlaczego w POSTROUTING a nie w PREROUTING ?
chociaz moze byc


co ci ma limitowac skoro wszystko poszlo DROP ?

iptables -A POSTROUTING -t mangle -p tcp -m ipp2p --ipp2p -m
limit --limit 50/s -j ACCEPT
iptables -A POSTROUTING -t mangle -p udp -m ipp2p --ipp2p -m
limit --limit 50/s -j ACCEPT

lub jedna linia bez podawania protokolo

iptables -A POSTROUTING -t mangle -m ipp2p --ipp2p -m
limit --limit 50/s -j ACCEPT

Ostatnia linia:

- czemu masz -m mark --mark 0xa0 ?!

Przecież ta linijka nic nie robi, bo pakiet albo do niej nie dotrze (jak ma mark 0xa0 to wcześniej jest upuszczany), albo - jeśli dotrze, czyli nie ma mark 0xa0 - to do niej nie pasuje ?
I czemu -p udp, skoro piszesz, że chcesz limitować tcp i udp ?

Ja bym dał tak:

_________________
F33/F07,F11,F13,F17