Ip adreslerine göre hız limitleme
pfsense 2.0.1 kurulu sistemim var ve başlıktada belirttiğim gibi ip adreslerini baz alarak kullanıcılara hız sınırlaması yapmak istiyorum.pek çok arkadaşın tavsiyesi captive portal yönünde ve ben captive portal kullanmak istemiyorum.bazı arkadaşların açıklamalarını uygulayarak limiter ile denemelerim oldu fakat ne yaptıysam hep tüm lan trafiğini limitleyebildim.ip bazlı limitleme yapabilmem içim bana yardımcı olabilirmisiniz.
herkese kolay gelsin keyifli çalışmalar….
Bunu her ip adresi için firewall > rules > lan sekmesinde tanımlayacaksınız. Ne kadar limit koymak istiyorsanız in/out seçeneğinden yapabilirsiniz.
hocam ilgilendiğin için teşekkür ederim
bunu zaten denemiştim.traffic shapper>limiter den bir limit kuralı belirleyip kaydediyorum sonra resmini koyduğunu kısımda zaten belirlediğim limit kuralları çıkıyor.in out olarak kayduğum upload ve download kurallarını seçiyorum ama limitleme tüm ağa yansıyor.yani koyduğum limiti farzedelim 20 kullanıcı arasında paylaşıyor.nerede hata yapıyorum anlamadı.bu arada ip lerin hepsini static olarak ayarladım.
hocam senden ricam bu olayınnasıl yapıldığını detaylı bir şekilde adım adım anlatabilirmsin.
bu konununda pek çok arkadaşa yardımcı olacağından eminim.
Bunun en mantıklı yolu captive portal ve radius server kullanmak ;)
Bu konuda genelde yapılan 3 hata var, öncelikle oraları kontrol etmekte fayda var
1- Yeni bir limiter oluşturduğunuz ekranda download limiti yapıyorsanız Mask kısmını "Source addresses" seçiyor musunuz ? (bkz: ekran görüntüsü)
2- Bu kurala uyacak bilgisyarlar için yeni bir rule kuralı yazarken protocol kısmını TCP/UDP seçiyor musunuz ? (bkz: ekran görüntüsü)
3- Firewall rule yazarken, advanced features kısmında in kısmına upload limiterını, out kısmına ise download limiterını seçiyor musunuz ? (bkz: ekran görüntüsü)
tuzsuzdeli hocam versiğin cevap için teşekkür ederim.son bir sorum olacak.rules>lan sekmesine hız sınırlamayla ilgili kural eklerken source kısmına single host or alias ı seçip altına sınırlama yapacağımız ip adresini yazmamıza gerek varmı. eğer gerek varsa örneğin 20 makina ip alıyor diyelim 20 adet kural koymamız gerekir.yoksa orayı pas geçip any şeklinde kalırsa dhcp deki tüp ip ler için ayrı ayrı belirlediğimiz kuralı uygularmı ?
![rules edit.jpg](/public/imported_attachments/1/rules edit.jpg)
![rules edit.jpg_thumb](/public/imported_attachments/1/rules edit.jpg_thumb)
Tabii ki gerek var. Siz o kısmı any halde bıraktığınız için tüm network etkileniyor zaten :)
Bu kural içine girmesini istediğiniz ip'leri ard arda bir bloğa koyup, tek tek ip yazmak yerine bu ip bloğunu yazabilirsiniz.
Ya da daha kolayı bu 20 tane ip numarasını bir alias içinde tanımlayıp, kural içine bu aliası yazın derim ben.
tuzsuzdeli hocam merhaba
bugun iki bilgisayarı yanıma alarak deneme yaptım.firewall>rules kısmına iki adet kual belirledim.kurallarda source kısmı single host or alias seçili ve altında makine ip leri yazılı.in out ısmınıda upload limit donload limit olarak ayarladım. (resimlerini ekliyorum)download limiti 1mbps olarak ayarladım ve denemeye başları.birinci bilgisayuardan download yapmaya başladım gayet güzen 1mbps de hızı sınırladı.ama ikinci bilgisayardanda download yapmaya başlayınca ikisinin download hızı 500kbps ye düştü.yani kural yazdığım ip leri 1mbps lik bir havuzdan dağıtıyor gibi davrandı.benim istediğim bu değil.benim istediğim yazdığım iplerin hepsi koyduğum bandwidth sınırına ulaşsın ama gerçemesin.ornek olarak 8 bildisayarın aynı anda download yaptıgını düşünelim bilg1=1 mbps bilg2=1mbps bilg3=1mbps bilg4=1mbps bilg5=1mbps bilg6=1mbps bilg7=1mbps bilg8=1mbps ==== toplam download hızı 8mbps. gibi olacak.
hocam limiter ayarlarım aşagıda.
arkadaşlar başka bir fikri olan yokmu.inanıyorum ki birçok kişi bu hız limitlemeyi başarılı bir şekilde yapıyor.ama ben nerede hata yapıyorum çözemedim.tuzsuzdeli hocam limiter ayarlarını istemişti ama forumla ilgilenemedi galiba :(
banada tam havuz şekli lazımdı çok iyi oldu teşekkürler.
captive portal ve radius kullanılması tavsiye edilmiş ama bildigim kadarıyla radius şuanda problemli olarak çalışıyor hız sınırlaması ya yapmıyor yada arada sırada yapıyormuş radius final güncel sürüme ne zaman ulaşırsa ozaman denemek kullanmak isterim.
güle güle kullanın :) birde ayrı ayrı verebilseydik.
teşekkür ederim :) bu kavram captive portal çalışırkende oluyor mu onu denemek lazım.
ayrı ayrı verebilmeyi bende bilmiyorum ama daha önce dediginizi mikrotik ile yapabiliyordum vede tp link in 741nd modeli var 743nd falan o modelleri tam istediginizi yapıyor. hatta hızı limitlemeye bile gerek yok cünkü router otomatik eşit şekilde dağıtıyordu.
evet tplink router ile yapılabiliyor çokta güzel çalışıyor.şu anda elimde tlr 480t+ router var gayet güzel.ama pfsense kadar kullanışlı ve özellikl değil
arkadaşlar sonunda oldu :).limit vermek istediğimiz ip adreslerini bir alias altında toplayınca sistem iplere ayrı ayrı hız sınırlaması yaptı.ne güzel :)
başka neler yapmak istiyorsunuz ki router ile genelde sadece hız sınırlaması yapılır. ben captive portal kullanıyorum ama ip vermeme sorununu cözmüş değilim henüz. radius serveri de bu gece denicem bu gece denicem bakalım sonuç ne olacak göreceğim.
Captive Portal üzerinden genel olarak hız limiti belirleyebiliyorsunuz. radius üzerinden ise kullanıcı bazlı limit belirleyebiliyorsunuz. Öncelikle yapmak istediğinize göre çözümler mevcut.
radius server de benim bildigim mantık olarak hız aktarımlarını daha sağlıklı yapıyor captive portala göre ve ping süreleri biraz iyileşme olabiliyor.
mikrotik te radius kullanıyordum oldukca güzeldi. pfsense nin daha kullanmak kısmet olmadı onuda bugün yarın deniyeceğim.
Ip verememe gibi sorunlardan bahsetmişsiniz. Bizde böyle bi sorun yaşamıştık. Sisteme bir ap bağlıyorsunuz ve yayın yapıyorsunuz. Herşey güzel çalışıyor. Fakat ikinci bir ap alıp client mod ta bu ap ye bağladığınızda client modda çalışan ap nin arkasındaki bilgisalarlardan sadece bir tanesi ip alabiliyor. Diğerleri alamıyor. Birde client mod ta olan ap nin captive portala login olmaya çalıştığını gözlemledik. Bu nedenle sağlıklı çalışması için yayın yapan ap ye bağlanacak diğer ap lerin point to point bridge mod with ap ile çalışması gerekiyor. Bu şekil yaptığınızda hem aynı ssıd ile sinyali güçlendirmiş oluyorsunuz hemde sağlıklı şekilde makineler ip alabilir.
arkadaşlar limiter bağzı konularda eksik, bağzı kullanıcılar bunu atlatabiliyorlar, bu iş en iyi captive portal ya da squit ile yapılabiliyor, limiter da bağzı plotokoller atlatılıyor sanırım, test ettim, yanılıyorsam benide bilgilendirin.
ap ları bridge moda alınca aynı ssid demişsiniz aynı ssid ve aynı kanal olunca ağ yavaşlamıyor mu ?
ben bridge moda alıp 2 ssid ide farklı isimlerde kullanıyordum.
limitleme ayarlarınızı tam olarak paylaşabilir misiniz bende aynısından deneye bilirim.
ip bazlı limitleme birde havuz limitlemesi iyi olurdu.
peki aynı durumda hız sınırlaması yaptıgımız zaman mac filtre kullanabiliyor muyuz pfsense de ?
captive portal ve radius vb birşey kullanmıyorum.
ip bazlı sınırlama yapacağım ve sınırlama ile birlikte mac filtre kullanmak istiyorum.
böyle bir ayar var mı pfsense de ?
mac filtreden kastınız nedir ?
mac adreslerine göre firewall kuralı yazamazsınız
ancak mac adreslerine belirli ip'ler tahsis edip, o ip'lere göre kurallar yazabilirsiniz.
evet bende öyle yapmak istiyorum mac adreslerine belirli ipler tahsis edip o iplere kural yazmak istiyorum.
şöylede birşey düşünmüştüm pfsense bir router olarak düşünürsek eğer router lar mac kontrolü yaparlar ve izinli olmayan mac lerin internete çıkmasını engeller daha önce bunu tp link 741 nd ile yapıyordum.
pfsense de böyle birşey yok mu ?
ağımı kullanan arkadaşların pc lerin mac adreslerini pfsense ye girsem ve onun haricinde bağlanan bir mac olursa internete çıkış izni vermesin mesela ?
benim aklıma ilk gelen.
Aliases'e internete çıkış yapmıyacagı ip adreslerini yazar ve yeni bir kural ile blocklarsın
tam tersi olsa internete çıkış yapacak olan ipleri yazıp kural yazsak geriye kalan iplerde doğal olarak çıkış yapamayacaktır demektir.
ama ben ip kontrolü değilde mac kontrolü yapmak istiyorum.
ağa bağlı olan mac adreslerini dhcp server vb bir yerde toplayıp izin verdigim mac harici bir pc bağlanınca nete çıkış yapamasın.
bunu istememin sebebi artık radius server ve captive portal kullanmıyorum.
sebebi biraz karışık ama sistem bu şekilde çok daha iyi çalışıyor.
mac üzerinden kontrol sağlarsam pek bir sorunum kalmayacak gibi.
Çözümü zaten kendiniz yazmışsınız :)
dhcp ile ip adreslerini, mac id'lerine sabitlersiniz.
Bu ip'lere çıkış verir diğerlerine vermezsiniz.
Zaten o aşamadan sonra
Bu ip'ler üzerinde istediğiniz gibi filtreleme ya da traffic shaping uygulaması yapabilirsiniz.
evet cözümü ben yaptımda yanlış anlamayında pfsense de bu yapacağım ayarlar nerede işin doğrusu onu düşünüyorum :)
dediginizde olur :D
Tuzsuzdeli'nin dediği gibi dhcp den mac adreslerine ip atamakla başlaya bilirsin.
evet nasıl yapılacağını bugün öğrendim dhcp server sekmesinde 3 tane çentik atılcak işaretlencek yerleri işaretleyip mac adreslerini yazıp sabit ip verebiliyoruz.
bugün öğrendim nasıl yapıldıgını onu yaptıktan sonra ayrı ayrı ip verince konu başlıgındaki gibi arkadaşın yaparak hız sınırınıda halletmiş olacağım.
merak ettigim bir başka konu şöyle nasıl yapılabilir acaba.
mesela bir odada 3 kişi var ve 3 üde aktif olarak interneti kullanıyor bu 3 ünün ipini aliases den ayarlayıp mı acaba havuz şeklinde verdigim hızı kullanabilirler.
mesela daha önceden tp link router da ayarlıyordum diyordum ki 2 adet ip 1.201 ile 202 1 mb ortak kullansınlar.
bunun gibi nasıl yapabilirim onu araştırıyorum bilen var mı bilmiyorum bunu :)
alies kısmına hız sınırlaması koyacagın ip adreslerini tanımla.
firewall>rules>lan kısmına kurala yazarak sucre kısmına alies'i yazdıgın ismi tanımla ve Advenced Features kısmındaki in/out kısmını secmen yeterli olacaktır.
Not: Limiter kuralı yazılı oldugunu varsayıyorum.
dhcp server kısmından mac ve ip ataması yapacağım ama bana verdigi cevap şu oluyor.
The IP address must not be within the DHCP range for this interface.
ip blogum hariçinde ip vermemi istiyor ama ip blogu haricinde ip numarası atarsam tabiki kullanıcılar nete çıkış yapamaz ki cünkü ip blogu
1.2 den başlayıp 149 da sona bitiyor benden 150 den itibaren ip blogu girmemi istiyor.
Bir denersen, oldugunu goreceksin.
Sen pfsense'e 1.2-1.149 arasi dinamik dagitim yap dedikten sonra bu aralik icinde ip sabitlemek istersen dogal olarak cakisma olabileceginde sistem buna izin vermez.
150-180 arasini da ip sabitlemek icin kullanmanin bir mahsuru mu var ?
1.2 den 1.149 e kadar dhcp den ip dağıtacak şekilde ayarladım.
1.149 dan sonraki ip blogu access pointler için ayırdım.
şimdi 1.155 vs diye ip atarsam dhcp mac filtre den nasıl nete cıkacaklar anlamış değilim.
ip blogu üzerinden sonucta nete cıkacak yani daha önce 741 nd ile bunu yapmıştım ama pfsense de olmadı.
Yardım etmek istiyorum ama, kullandığınız kavramlar çok karışık anlamıyorum ben :)
bende artık sersemledim bu sistemle ugraşmaktan ne yazdıgımı bilmiyorum :)
tamam doğru söylüyorsunuz ben şunu demek istemiştim.
1.2 ile 1.50 arasında bir ip blogu koyup pfsense ye geri kalanları kullanıcılara paylaştıracağım.
demek istedigim 1.2 ile 1.50 ip blogunu access pointlerin ip numarasını atasam sorun olur mu yoksa hiç kullanmıyayım mı 1.2 ile 1.50 arasındaki ip blogunu.
birde dhcp yi tekrar dan elle yapılandırıp 254 değilde /21 yapıp ip blogunu genişleteceğim biraz yetersiz kalabilir ip blogum cünkü bu durumda kullanıcılar ip blogu 254 dolunca 2.1 den ip almaya başlıyacaklar kısacası tüm ip bloguna elle ip vererek mi diğer iplere ulaşacağım yoksa otomatik ulaşabilir miyim bir yöntemi var mı bunun ? yani kullanıcılar 2.1 ve 3.1 blogunu tüketmeye başlayınca bu ip numaraların access pointlerine otomatik girebilirsem harika olur.
yardımlarınızdan dolayı teşekkür ederim hocam.
aynı anda 200-250 kullanıcı ulaşabilecekmisiniz bir onu düşünmeniz lazım.
bir lokosyon bölge daha var oradaki tüm kullanıcıları bana aktaracağız. bu hafta o yüzden bu durumda ilerleyen zamanlar için yetersiz kalabilir.