Ubuntu环境下基于用户/组ID限制特定用户下载流量至50GB的实现方法咨询

嘿，我明白你的需求了——要给那些通过SSH直连的用户（他们都用同一个端口）设置50GB的下载流量上限，而且必须基于用户ID或组ID来限制，不能靠IP、端口或者应用对吧？这其实可以用Ubuntu自带的iptables工具来实现，简单直接，下面是具体的步骤和注意事项：

核心思路 #

利用iptables的owner模块匹配目标用户/组ID，再结合quota模块设置累计下载流量的上限，当流量达到50GB后自动阻断后续的下载流量。

具体操作步骤 #

1. 计算流量上限对应的字节数 #

50GB转换为字节数的公式是：50 * 1024^3 = 53687091200 字节，后面的规则会用到这个数值。

2. 针对单个用户设置下载流量限制 #

场景1：用户从服务器下载文件到本地（服务器出站流量）

如果用户是通过SSH连接后，将服务器上的文件拉到自己本地电脑，对应的是服务器的出站流量，执行以下命令（将1000替换为目标用户的UID）：

# 先允许该用户的出站流量，直到累计达到50GB
iptables -A OUTPUT -m owner --uid-owner 1000 -m quota --quota 53687091200 -j ACCEPT
# 流量达到上限后，阻断该用户所有出站流量
iptables -A OUTPUT -m owner --uid-owner 1000 -j DROP

场景2：用户在服务器上下载外部资源（服务器入站流量）

如果用户是在服务器内部通过wget、curl等工具下载互联网资源，对应的是服务器的入站流量，执行以下命令（同样替换UID为目标值）：

# 允许该用户的入站流量直到达到50GB上限
iptables -A INPUT -m owner --uid-owner 1000 -m quota --quota 53687091200 -j ACCEPT
# 达到上限后阻断入站流量
iptables -A INPUT -m owner --uid-owner 1000 -j DROP

3. 针对用户组设置流量限制 #

如果要给整个用户组设置统一的50GB上限，只需要把--uid-owner替换为--gid-owner，并传入目标组的GID即可：

# 以组出站流量限制为例
iptables -A OUTPUT -m owner --gid-owner 1000 -m quota --quota 53687091200 -j ACCEPT
iptables -A OUTPUT -m owner --gid-owner 1000 -j DROP

关键注意事项 #

• 流量统计重置问题：iptables的quota模块是基于内存的，重启服务器或者重启iptables服务后，累计流量会清零。如果需要定期重置（比如每月重置一次），可以写个简单的cron任务，重新加载规则。
• sudo权限的影响：如果用户通过sudo执行下载操作，此时进程的UID会变成root，上述规则不会生效。如果需要限制这种场景，你可能需要额外配置sudo的环境，或者用审计工具跟踪原始用户ID，但操作会更复杂。
• 规则验证：可以用iptables -L -v命令查看规则的流量统计情况，确认规则是否正常生效。

备注：内容来源于stack exchange，提问作者mohamad sadeghi