Где запустить ?

так это опять скриптование через if-up/if-down 🙂

а ну да.

проще должников засунуть в netns чтоб не мешались контрэку делать свое грязное дело

Разница в потребление ресурсов ничтожно мала, конечно же в разумных пределах количества правил.

разница в павилах выше - в дополнительной обработке каждого транзитного пакета. можно соптимизировать конечно, но тем не менее

При таком наборе

-A FORWARD -m conntrack --ctstate NEW -j ACCEPT
-A Forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Один раз обрабатываются только установленные соединения. Остальные так же 2 раза

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
а тут дальше уже будут новые

тогда уж так. и conntrack на state можно заменить (если стейтов nat-а не надо), чуть быстрее может быть

Я шлю блокировку с icmp-admin-prohibited, не знаю как браузеры, а пинг пишет - заблокировано администратором.

Там нет стейтов, по идее каждый пакет будет проверен

Подскажите как правильно найти сбойную платку на брасе) HP DL 160g6

[Sun May 17 07:08:11 2020] EDAC MC0: 1 CE error on CPU#0Channel#0_DIMM#1 (channel:0 slot:1 page:0x0 offset:0x0 grain:8 syndrome:0x0)

Я так понимаю это 1G будет?)

dmidecode -t memory | grep 'Locator: PROC'
       Locator: PROC 1 DIMM 3A
       Locator: PROC 1 DIMM 2D
       Locator: PROC 1 DIMM 1G
       Locator: PROC 1 DIMM 6B
       Locator: PROC 1 DIMM 5E
       Locator: PROC 1 DIMM 4H
       Locator: PROC 1 DIMM 9C
       Locator: PROC 1 DIMM 8F
       Locator: PROC 1 DIMM 7I
       Locator: PROC 2 DIMM 3A
       Locator: PROC 2 DIMM 2D
       Locator: PROC 2 DIMM 1G
       Locator: PROC 2 DIMM 6B
       Locator: PROC 2 DIMM 5E
       Locator: PROC 2 DIMM 4H
       Locator: PROC 2 DIMM 9C
       Locator: PROC 2 DIMM 8F
       Locator: PROC 2 DIMM 7I

Ответ - pppd_compat, к сожалению.

+1 на не названный вопрос из соседнего чата

pppd_compat и ipt_ratelimit

вопрос в отбрасывании шейпера для определенных ip
спасибо @shumbor! был бы еще примерчик...
с этим tc уже весь мозг сломал.
tfb + police работает штатный отлично, но на весь трафик
htb + htb пробовал. там даже есть fwmark - но исходящий трафик все же шейпит

до этого на mikrotik simple queue с пропуском шейпинга по маркировке из фаервол ставил - все норм, так же на базе freebsd ng_car + ipfw тоже работает отлично и очень понятный синтаксис

хм, не слышал про ipt_ratelimit - спасибо. буду смотреть

С примером тяжело, у меня голос и тв идет в обход брасов из за маршрутов у абонов, т.к. pptp в основном.

хм, тоже интересный вариант.
видно ipoe. а у нас пока pppoe
~900 абонентов, 1.3 Гбит/c в часы пик на прием

все же видимо прийдется поэкспериментировать и может получится сделать htb с помощью приоритетов и фильтров