[routing] зачем нужны IFB и IMQ?

netfilter мало отношения к этому имеет. Нужно это для шейпинга.

а подробнее можно?

ifb работает на уровне очередей устройства, входящий трафик который туда попадает(если редирект например использовать), еще не попадал в нетфильтр и еще не маршрутизировался. Потому никаких классификаторов которые используют роуты или нетфильтр метки, использовать не выйдет там. Но обычно tc u32 хватает. То есть это буквально копирование входящего трафика с езернет интерфейса в том виде какой он пришел. Физически копирования в памяти не происходит, потому накладные расходы нулевые. C imq я не работал, он требует патчей ядра, тогда как ifb в мейлайне и признан стабильным. Но imq работает не так и позволяет обрабатывать трафик после netfilter, соответственно можно использовать всякие метки и классификаторы которые имеют отношение к нетфильтру.

спасибо огромное. а IFB умеет на ICMP отвечать (видимость при трассировке)? И TTL оно меняет? Или вундервафля только с одной сетевухи на другую кидает пакеты и всё? Тогда смысл в ней?

не умеет ничего из того что вы хотите. Смысл - шейпинг входящего траффика (он не шейпится обычными средствами).

получается, что сервер невидим для клиентов? а шейпинг осуществляется на самом низком уровне пакетов, так? и я не совсем понял, при такой конфигурации это будет работать? [Интернет *.*.*.*]---[89.12.12.12 провайдер с IFB 10.10.10.1]---[10.10.10.2 клиент]

> получается, что сервер невидим для клиентов?

И каким это образом у тебя такое получается ?
Тебе про фому, ты про ерёму. Освой азы для начала.

не так. Интернет -> внешний ip-сервера -> IFB -> внутренний ip-сервера -> ip-клиента

не так. Интернет -> внешний ip-сервера -> IFB -> внутренний ip-сервера -> ip-клиента

медный кабель -> очередь сетевки(аппаратная)-> прерывание -> очередь сетевки(ram)-> ifb -> передача пакета(skb) на верхние уровни (ip/netfilter/routing). Шейпинг таки да осуществляется на самом низком уровне пакетов.

ну, это ты уже затронул внутренности процесса(skb и прочее). Хотя твоя схема более подробна, это да.

Просто до ip уровня там еще далеко.

я всё-равно не могу понять, зачем оно надо. всё вышесказанное без всяких проблем делается стандартными средствами. попытайся объяснить, плиз :3

Покажите как делается шейпинг входящего трафика «стандартными средствами»

PS: странно что вы не считаете ifb стандартным.

tc qdisc add dev eth0 handle ffff: ingress
tc filter add dev eth0 parent ffff: protocol ip prio 50 \
u32 match ip src 0.0.0.0/0 police rate 256kbit \
burst 10k drop flowid :1

почему так нельзя?

1) потому что это не шейпинг 2) потому что это classless