如何在Linux中配置接口限速规则

Linux服务器限速仅对出向流量生效，必须在真实网卡（如eth0）上用root权限配置；限速前需确认网卡UP状态、清理已有tc规则，并避免在lo或虚拟接口操作。

限速前必须确认网卡状态和权限

tc命令真正起作用的对象，是物理网卡，比如eth0、ens33这类接口；放到lo或者Docker的vethxxx上配置，基本不会生效。动手前先用ip link show看一眼，确认目标接口已经处于UP状态；再执行tc qdisc show dev eth0检查当前是否已经挂了规则——只要有输出，就得先清理干净，不然后续新增的规则要么被直接忽略，要么彼此冲突；另外，所有命令都必须通过sudo执行，普通用户下很多时候会静默失败，看起来没报错，其实压根没有生效。

tbf适合全局限速，但burst和latency不能乱设

tbf是最快捷的出站限速方式，原理是令牌桶，不分类、不匹配，适合给整块出口设硬上限。例如限制eth0出向为1Mbps：sudo tc qdisc add dev eth0 root tbf rate 1mbit burst 32kbit latency 400ms。注意单位严格区分：mbit（兆比特）≠mbps（内核可能拒识）。burst太小（如1kbit）会让SSH、DNS等小包频繁丢弃；太大（如10mbit）会让限速失效；经验上取rate / 10左右较稳（1mbit → 32kbit合理）。latency不是网络延迟，而是包在队列里最长等待时间：设太小（10ms）易丢包，太大（2s）会让突发流量“憋太久”，影响响应。

按IP或端口限速必须用htb+filter，match方向极易搞反

想限某客户端上传（比如只限192.168.1.100发来的请求触发的本机响应流量），不能用tbf，得用htb配合u32过滤器。关键陷阱在match ip src和match ip dst的语义：
在egress（出向）链路上，match ip dst 192.168.1.100才匹配“本机回给该IP的包”，这才是你要限的上传流量；match ip src 192.168.1.100实际匹配的是本机作为客户端主动连它时发出的包。
限HTTP服务（端口80）出向流量示例：tc filter add dev eth0 protocol ip parent 1:0 prio 1 u32 match ip dport 80 0xffff flowid 1:10，其中0xffff是端口掩码，不可省略。

入站限速需ifb虚拟设备，且必须分两步走

tc原生只能管出站流量，至于入站，也就是下载限速，得借助ifb模块来兜底。先把这个虚拟设备加载并启用起来：sudo modprobe ifb，然后执行sudo ip link add ifb0 type ifb、sudo ip link set dev ifb0 up。接下来，要把入向流量重定向到它身上：sudo tc qdisc add dev eth0 handle ffff: ingress，再补上过滤器：sudo tc filter add dev eth0 parent ffff: protocol ip u32 match u32 0 0 action mirred egress redirect dev ifb0。做到这一步后，才是在ifb0上真正加限速：sudo tc qdisc add dev ifb0 root tbf rate 2mbit burst 16kbit latency 400ms。这里少一步都不行，比如忘了ip link set up，整套规则就会直接失效。