脚本能自动限制FTP带宽吗？

本文目录导读：

1. 使用服务器的带宽限制功能（推荐）
2. 使用流量控制工具（tc）+ 脚本
3. 使用 iptables + 限速模块 (如 hashlimit)
4. 最佳实践建议

是的，可以通过脚本自动限制FTP的带宽，具体实现方式取决于你使用的FTP服务器软件（如vsftpd、ProFTPD、Pure-FTPd等）以及你的操作系统环境,以下是几种常见的方法：

使用服务器的带宽限制功能（推荐）

大多数成熟的FTP服务器软件都内置了带宽限制功能，通过配置文件即可实现,无需额外脚本。

• vsftpd (Linux常用) 在配置文件 /etc/vsftpd/vsftpd.conf 中添加或修改以下参数：

  # 限制本地用户的下载速度（单位：字节/秒）
  local_max_rate=500000
  # 限制匿名用户的下载速度
  anon_max_rate=200000
  # 限制每个客户端的总连接数（间接限制带宽）
  max_per_ip=5

• ProFTPD 在配置文件中使用 TransferRate 指令：

  # 限制所有用户，下载速度为 100 KB/s，上传速度为 50 KB/s
  TransferRate RETR 100:50
  TransferRate STOR 50:25

• Pure-FTPd 启动时使用命令行参数：

  pure-ftpd -c 50 -E -j -R -X -x ... --max-bandwidth 1500000
  # --max-bandwidth 参数单位是 KB/s，1500000 表示约 1.5 Gbps

优点：最稳定、效率最高,无需额外进程或脚本。

使用流量控制工具（tc）+ 脚本

如果服务器不支持直接限制，或者你需要更精细的动态控制（如基于用户、时间、IP），可以使用 Linux 的 tc (Traffic Control) 工具,你需要编写一个脚本来识别FTP流量并应用规则。

思路：

1. 识别FTP流量：根据FTP的控制端口（默认21）和数据端口（通常是动态端口，但常见用法是使用 iptables 标记数据包）。
2. 创建流量整形规则：使用 tc 创建队列规则（qdisc）、分类器（class）和过滤器（filter）。
3. 脚本定时或按需运行：脚本可以放在cron中定时执行,或者在系统启动时运行。

一个简单的示例脚本（假设FTP数据连接使用端口 20/21）：

#!/bin/bash
# 限制FTP数据端口（20）的总带宽为 1Mbps
# 注意：主动模式FTP的数据端口是20，被动模式的数据端口是随机高位端口，此方法不完整
DEV=eth0
LIMIT=1mbit
# 清空现有规则
tc qdisc del dev $DEV root 2>/dev/null
# 创建根队列（使用htb算法）
tc qdisc add dev $DEV root handle 1: htb default 30
# 创建主类，限制总带宽
tc class add dev $DEV parent 1: classid 1:1 htb rate $LIMIT
# 创建子类，用于FTP流量
tc class add dev $DEV parent 1:1 classid 1:10 htb rate $LIMIT
# 添加u32过滤器，匹配目标端口为20的包（下载）
tc filter add dev $DEV protocol ip parent 1:0 prio 1 u32 match ip dport 20 0xffff flowid 1:10
# 添加u32过滤器，匹配源端口为20的包（上传）
tc filter add dev $DEV protocol ip parent 1:0 prio 2 u32 match ip sport 20 0xffff flowid 1:10
echo "FTP bandwidth limited to $LIMIT on port 20"

缺点：

• 被动模式失效：被动模式的数据端口是随机的,无法简单通过端口匹配。
• 复杂度高：需要深入理解 tc 和 iptables。
• 性能开销：每个包都需要经过过滤和处理。

使用 iptables + 限速模块 (如 hashlimit)

iptables 的 hashlimit 模块可以限制匹配数据包的速率，但通常用于限制单个连接的速率,而不是总带宽。

# 限制每个IP每秒最多100个包（对带宽控制不精确）
iptables -A OUTPUT -p tcp --sport 20 -m hashlimit --hashlimit-above 100/sec --hashlimit-mode srcip --hashlimit-name ftp_limit -j DROP

缺点：

• 基于包数量而非字节数,控制不精确。
• 仍无法完美处理被动模式。

最佳实践建议

1. 优先使用FTP服务器自带功能：这是最简单、最稳定、性能最好的方法,几乎所有商业和开源FTP服务器都有此功能。
2. 如果必须动态控制：可以考虑结合 FTP服务器自带的脚本钩子（如vsftpd的 user_config_dir）与 tc，当用户登录时，触发脚本为该用户创建一个独立的 tc 类。
3. 考虑使用限速代理：在FTP服务器前端部署一个支持速率限制的代理（如 haproxy、nginx 的 proxy_download_rate）,但会增加架构复杂度。

脚本可以间接实现，但更推荐直接配置FTP服务器软件的带宽限制参数，这通常是“自动”且高效的，如果必须用脚本，tc 是更灵活且相对可靠的底层工具。