在企业或个人使用CentOS操作系统搭建虚拟私人网络（VPN）时，合理控制带宽使用是保障网络资源公平分配、防止滥用和提升整体性能的关键环节，尤其在多用户共享服务器或远程办公场景中，若不加以限制，个别用户可能占用大量带宽导致服务拥堵甚至瘫痪，本文将详细介绍如何在CentOS系统中通过iptables结合tc（traffic control）命令实现对VPN连接的限流策略,帮助网络管理员有效管理流量。
确认你的CentOS系统已正确安装并运行OpenVPN或IPsec等常用VPN服务，假设你使用的是OpenVPN，且客户端通过UDP 1194端口接入，为了实施限流，我们需要先识别出所有通过VPN接口（如tun0）的数据包,并为它们设置QoS规则。
第一步是创建一个专用的iptables规则链，用于标记来自VPN接口的流量，以OpenVPN为例,在终端执行以下命令：
sudo iptables -t mangle -A PREROUTING -i tun0 -j MARK --set-mark 1
这条命令会为所有进入tun0接口的数据包打上标记“1”,便于后续使用tc进行带宽限制。
第二步是配置tc（traffic control），这是Linux内核中用于流量整形的核心工具，我们将在eth0（物理网卡）上应用限速规则，限制总带宽为10Mbps（可根据实际需求调整）,执行如下命令：
sudo tc qdisc add dev eth0 root handle 1: htb default 30 sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 10mbit ceil 10mbit sudo tc class add dev eth0 parent 1:1 classid 1:10 htb rate 5mbit ceil 10mbit sudo tc filter add dev eth0 protocol ip parent 1:0 prio 1 handle 1 fw flowid 1:10
上述命令创建了一个基于HTB（Hierarchical Token Bucket）的队列规则，
1:1是主类,限速10Mbps；1:10是子类，专门处理被标记为1的VPN流量,限速5Mbps；tc filter将标记为1的流量引导至该子类。
这样，所有通过tun0的VPN流量都被限制在5Mbps以内,避免单个用户耗尽全部带宽。
建议定期监控流量使用情况,可通过以下命令查看当前流量统计：
sudo tc -s qdisc show dev eth0
如果需要动态调整限速值（例如临时提高某个用户的带宽），可使用tc class change命令修改速率参数,无需重启服务。
为确保策略持久生效，需将上述iptables和tc命令添加到启动脚本中，例如写入/etc/rc.local或使用systemd服务管理。
CentOS环境下通过iptables+tc组合可以灵活、高效地实现对VPN流量的精细化控制，这不仅有助于提升网络稳定性，还能防范DDoS攻击或恶意下载行为，是构建健壮、安全网络环境的重要手段，对于运维人员而言,掌握这套技术能显著增强对复杂网络拓扑的掌控力。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
