Wie kann ich langlebige Verbindungen erkennen und für die Gestaltung markieren?

Ich möchte TCP-Verbindungen erkennen, die länger als eine Minute geöffnet waren (oder für mehr als N Bytes oder M Pakete), sodass ich sie als Massenverkehr klassifizieren ("downloads") und sie als "Prioritäten" klassifizieren kann.

Kann ich mit iptables / netfilter / conntrack lange laufende Streams erkennen und sie mit tc für die Formgebung markieren?

Ich dachte, ich könnte die TCP-Sequenznummer als ein Maß für die Länge eines Streams verwenden, aber leider fängt es nicht bei Null an! Möglicherweise könnte die Verbindungsverfolgung mit netfilter / conntrack die korrekte Sequenznummer oder die Gesamtanzahl der Bytes und die Dauer der Verbindung bestimmen und entscheiden, ob das Paket markiert werden soll.

(Ich könnte auch erwähnen, dass ich dies beim Eindringen mit einer virtuellen Schnittstelle von ifb0 mache. Derzeit verwende ich tbf-Warteschlangen (mit sfq), um Daten mit niedriger Priorität einzuschränken. Unabhängig davon kann jede Lösung auch für Egress verwendet werden, zum Beispiel für eine Webserver mit einer eingeschränkten Verbindung, der Downloads depriorisieren möchte, um kleine Anfragen zu beschleunigen.)

Update: Mit conntrackd kann ich eine Liste der Verbindungen sehen und wie lange es her ist, dass eine Verbindung hergestellt wurde. Ich habe mit dieser Liste begonnen, IP / Port-Paare zu erkennen, die ich begrenzen möchte (nach 60 Sekunden). Es gibt jedoch eine Reihe von Problemen:

• conntrack (d) scheint Verbindungen nicht sofort aus der Liste zu löschen, wenn sie geschlossen wurden! Am Ende markiere ich alle Verbindungen für die Begrenzung, auch für die, die fertig sind.
• Das Setzen von Markierungen in conntrack scheint keine Markierungen in den Paketen (soweit von tc sichtbar) zu setzen. (Dies liegt nicht nur daran, dass conntrack die Pakete nach ifb0 sieht: Ich kann auch keine Markierungen auf Egress-Paketen sehen.) Daher habe ich nur neue Filter zur Begrenzung von tc hinzugefügt, was auf lange Sicht alles andere als ideal ist.
• conntrack (d) sagt mir nicht, wie viel Bandbreite jede Verbindung verbraucht hat. Daher kann ich zeitweilige Sitzungen (z. B. iosocket) nicht von umfangreichen Downloads unterscheiden. (In jedem Fall ist dies ein schwieriges Problem: Wenn wir bereits 5 Downloads haben und ein neuer Download beginnt, wie können wir dann feststellen, dass er versucht, zu überschwemmen? Er erreicht nicht annähernd die maximale Rate.)

Irgendwelche Vorschläge mit den oben genannten würden gebeten.

(Auch wenn ich die Downloads nicht richtig klassifizieren kann, hat die Verwendung von tfb zur Begrenzung der eingehenden Daten auf 80% meiner maximalen Downrate ein Überfluten der Verbindung verhindert und das Herstellen neuer Verbindungen viel einfacher als zuvor ermöglicht.)