基于Linux/BSD的山区家庭4G网络IP/用户流量管控方案咨询

针对你在山区的4G流量管控需求，我整理了一套基于Linux/BSD的落地方案，结合你提到的交换机+无线AP架构，完美适配你的场景：

先把现有Netis路由器的客户端模式替换掉，搭建更可控的核心架构：

• 4G调制解调器直接连接到Linux/BSD网关的WAN口，让网关作为核心路由节点
• 网关LAN口连接交换机，有线设备（电脑、平板）直接接交换机
• 无线AP设置为桥接模式（关闭自身DHCP），也接入交换机，所有无线设备的IP由网关统一分配，方便后续流量管控
• 这套架构完全避开Netis路由器的10台设备上限限制，扩展性更强

1. 基础网络配置 #

先确保网关WAN口能正常通过4G上网，LAN口配置静态IP（比如192.168.3.1/24），开启DHCP服务给内网设备分配IP。

2. 基于源IP的流量统计与阻断 #

用nftables（现代Linux默认支持，比iptables更高效）实现流量统计和限额阻断：

第一步：创建流量统计规则

# 初始化流量管控表和链
nft add table ip traffic_control
nft add chain ip traffic_control forward { type filter hook forward priority 0; }

# 为每个内网IP创建流量计数器（假设LAN口为eth1）
nft add rule ip traffic_control forward ip saddr 192.168.3.0/24 counter name ip_$saddr

第二步：定时检查与阻断脚本

写个Shell脚本（比如check_traffic.sh），用cron每分钟执行一次：

#!/bin/bash
# 全局流量上限（10GB，单位字节）
GLOBAL_LIMIT=$((10*1024*1024*1024))
# 单IP流量上限（比如1GB，可按需调整）
SINGLE_LIMIT=$((1*1024*1024*1024))

# 计算全局总流量
TOTAL_TRAFFIC=$(nft list counter ip traffic_control | grep -oP 'bytes \K\d+' | awk '{sum+=$1} END {print sum}')

# 全局超限额则阻断所有内网访问
if [ $TOTAL_TRAFFIC -ge $GLOBAL_LIMIT ]; then
  nft add rule ip traffic_control forward ip saddr 192.168.3.0/24 drop
  exit 0
fi

# 检查单个IP流量
for IP in $(nft list counter ip traffic_control | grep -oP 'ip_\K\d+\.\d+\.\d+\.\d+'); do
  IP_TRAFFIC=$(nft list counter ip traffic_control ip_$IP | grep -oP 'bytes \K\d+')
  if [ $IP_TRAFFIC -ge $SINGLE_LIMIT ]; then
    nft add rule ip traffic_control forward ip saddr $IP drop
  fi
done

给脚本加执行权限：chmod +x check_traffic.sh，然后在crontab -e中添加定时任务：

*/1 * * * * /root/check_traffic.sh

3. 基于用户登录的流量限制 #

如果需要用户认证后才能上网，推荐搭配CoovaChilli做Web认证：

• 用户登录时，系统记录登录账号与对应源IP的绑定关系
• 修改上面的流量检查脚本，读取账号-IP映射表，给不同用户设置不同的流量限额（比如给家人分配2GB，访客分配500MB）
• 认证成功后才允许该IP访问外网，未认证IP直接阻断

如果偏好BSD系统，可以用pf防火墙实现类似功能：

• 用pf的counter和table记录每个源IP的流量：

  table <internal> persist 192.168.3.0/24
  pass in on em1 from <internal> to any keep state (track rule, counter)
  

• 写脚本定期执行pfctl -s counters读取流量数据，判断是否超限额，超限时在pf.conf中添加阻断规则：

  block in on em1 from 192.168.3.100 to any
  

• 网关设备推荐用低功耗的Linux硬件（比如树莓派、旧笔记本），保证山区环境下的稳定性
• 每月1号可以通过cron重置流量计数器和阻断规则，实现按月限额
• 如果需要可视化监控，可以安装vnstat工具，实时查看各IP的流量使用情况

内容的提问来源于stack exchange，提问作者user1594895