MikroTik 脚本生成器

mangle 允许对 IP 数据包做特殊的标记， mangle 是通过修改指定的 IP 数据包头字段，去标记 IP 数据包的特征 能标记端口、 IP、协议、 TCP 协议和相应的 IP 数据流。 Mangle 属于综合性功能，所以在路由、流量控制和其他相应功能中都会涉及到。

需要功能包: system
需要等级: Level1
操作路径: /ip firewall mangle
协议标准: IP

Mangle 介绍

Mangle 是一种标记器，标记特殊的数据包等待将来处理。在 RouterOS 中许多其他的功能组件会使用到他，如queue-trees 和 nat，他们识别到一个数据包了标记的便会做相应的处理。 Mangle 标记仅存在于该路由器中，他们无法传输到网络中去。 根据数据传输方式不同可以选择：

操作路径：

/ip firewall raw

Raw 是 RouterOS v6.36 新增的功能属性， firewall Raw 列表允许选择性在 connection tracking 之前绕过或者丢弃数据包，这样能大大降低 CPU 负载。该功能非常有助于防御 DOS 攻击， RAW 列表不能匹配链接状态的跟踪，例如 connection-state 和 L7 协议。

如下图， Raw 出现在 Prerouting 和 output 链表，并在 connection-tracking 前执行：

适用于ROS版本号 < 6.16 的用户

IPSec 作为新一代网络安全协议，为网络传输提供了安全保证，使端到端的数据保密成为可能， 是互联网上的新一代安全标准。提供包括访问控制、无连接的完整性、数据源认证、抗重放 (replay)保护、保密和有限传输保密性在内的服务，服务基于 IP 层并对 IP 及上层协议进行保护。服务的实施通过两种通信安全协议：认证头（ AH）和封装安全负载（ ESP）以及 Internet 密钥交换（ IKE）协议来达到这些目标。 IPSec AH 协议提供数据源认证、无连接的完整性和可选的抗重放服务。 ESP 协议提供数据保密性，有限的数据流保密性、数据源认证、无连接的完整性及抗重放服务。 IKE 协议用于协商 AH 和 ESP 协议所使用的密码算法，并将算法所需的必备密钥放在合适的位置。 IPSec 有两种模式：传输模式和隧道模式。它们都是对外出的数据包添加 IPSec 头进行加密和认证，而对于接收的 IPSec 数据包作解密认证处理和适当的转发传送。

硬件图片:

我们首先来看下官网给出的硬件参数:

CCR1072-1G-8S+

目前的网络大多采用ADSL接入的方式进行连接的。那么就需要进行PPPoE的拨号才能上网，现在普及的自动拨号方式是Modem接路由器，由路由器完成自动拨号。那么用ROS可不可以进行PPPoE的拨号呢？答案下面揭晓。

前言:

这个小区本来只有一条网通的20M光纤资源,但用户量猛增,带宽不够用了,老板商量着要加带宽.本来让加网通的资源,这样好做资源的整合,但当地网通光纤价格高,而电信的相对便宜些,最后决定还是用电信的光纤,外加了一条网通的ADSL.

于是网络的整体网络资源如下:

联通专线 20M/20M(下载/上传)
电信专线 20M/20M(下载/上传)
联通ADSL 20M/2M(下载/上传)

这里我们有一个实际环境，我们需要实现对带宽的动态分配； Tel 带宽为 6M， Un 带宽为 12M；

配置步骤：

1、在 ip firewall mangle 标记上下行数据流
2、进入 queue type 定义单机带宽
3、在 queue tree 定义总带宽和流量控制规则

步骤 1：

在 Mangle 标记上下行的标记，这里我们使用的下载标记链表为 prerouting，上传标记链表用的是forward。

Burst 允许满足队列需要增加的带宽，甚至要求速率在有限的时间内大于 MIR（ max-limit）， Burst 发生仅当队列的 average-rate 在 burst-time 时间内小于 burst-threshold。 Burst 停止当队列的 average-rate 在 burst-time时间内大于或者等于 burst-threshlod

Burst 原理很简单，如果 burst 被允许 max-limit 被 burst-limit 代替，当 burst 被禁止 max-limit 恢复不变

操作路径:

1

/queue type

在这个子目录你可以创建自己的客户队列类型。之后，将可以在 /queue tree，/queue simple 或 /queue interface 使用了

PFIFO 及 BFIFO

这些队列规则是基于先进先出算法的(FIFO： First-In First-Out)。 PFIFO 和 BFIFO 的区别在于一个是以数据包为单位衡量的，而另一个是以字节为单位。其中只有一个叫做 pfifo-limit (bfifo-limit)的参数，它是用来定义一个 FIFO 队列可以容纳多少数据的。每一个不能排队（如果队列满了）的包都要被丢弃，队列长度过大会增加执行时间

Queue 流控用于对网络接口数据流发送和接收数据进行控制。传输流量被控制在指定的范围值内， 即传输的流量只能小于或等于这个值， 反之超过的流量将会被丢弃或延迟发送。

流控执行两种方式：

• 丢弃所有超出的流量限制的数据包– rate limiting (丢弃或整形流量) ，当 queue-size=0 100%流量被限制
• 延迟发送超出指定流量限制加入到队列中的数据– rate equalizing (计划任务) ，当 queue-size=无限制（ unlimited） 100%比例均衡发送
  下面的视图让你进一步理解 rate limiting 和 rate equalizing 的区别：