firewalld 本身不支持直接限速，需配合 tc 实现：先用 firewalld 的 direct rule 给目标 ip 流量打 mark 标记，再通过 tc 基于该标记在网卡层面做带宽整形。
firewalld 本身不支持直接限制单个 IP 的带宽（如限速到 100KB/s），它专注于访问控制（允许/拒绝/限连接频次），而带宽整形（traffic shaping）必须依赖底层 tc（Traffic Control）工具。但你可以用 firewalld 配合 tc 实现“对特定源 IP 限速”的效果——本质是：firewalld 标记流量 → tc 根据标记做限速。
下面分两步说明，清晰、可实操：
一、用 firewalld 给目标 IP 流量打标记
firewalld 不能直接限速，但能通过 rich rule + iptables 后端给数据包加 netfilter 标记（mark），供 tc 识别。以限制 IP 192.168.1.100 的出向（出口）流量为例（即本机发给它的流量）：
sudo firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 -s 192.168.1.100 -j MARK --set-mark 0x100 sudo firewall-cmd --reload
⚠️ 注意：
- 这里用的是
OUTPUT链（本机发出的流量），若要限制入向（入口）流量（即别人连你服务器的带宽），应改用PREROUTING链，并确保启用net.bridge.bridge-nf-call-iptables=1（桥接相关，常见于虚拟化环境）； -
--direct表示绕过 firewalld 抽象层，直操作 iptables 规则； -
--set-mark 0x100是一个十六进制标识（值任意，只要不冲突），后续 tc 将据此匹配。
二、用 tc 对标记流量限速
tc 在网卡层面做队列调度。假设你的对外网卡是 `eth0`，想把标号 `0x100` 的流量限速为 **512 kbps**：# 1. 清空原有 qdisc（如有） sudo tc qdisc del dev eth0 root 2>/dev/null # 2. 创建 HTB 根队列（支持带宽分级） sudo tc qdisc add dev eth0 root handle 1: htb default 30 # 3. 创建父类（总带宽上限，可设为物理带宽，如 100mbit） sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 100mbit ceil 100mbit # 4. 创建子类（专用于标记 0x100 的流量，限速 512kbps） sudo tc class add dev eth0 parent 1:1 classid 1:10 htb rate 512kbit ceil 512kbit # 5. 添加过滤器：匹配 mark=0x100 → 走 1:10 类 sudo tc filter add dev eth0 parent 1: protocol ip handle 0x100 fw flowid 1:10
✅ 效果：所有从本机发出、目标为 192.168.1.100 的流量（由第一步标记），将被强制限制在 512 kbps 内。
三、验证与持久化
- 查看规则是否生效： ```bash sudo tc qdisc show dev eth0 sudo tc class show dev eth0 sudo tc filter show dev eth0 ``` - 持久化：tc 规则**重启即失效**，需写入启动脚本（如 `/etc/rc.local`）或 systemd service；firewalld 的 direct rule 默认永久保存（因用了 `--permanent`）。不复杂但容易忽略细节。关键在于：firewalld 只负责“识别并标记”，真正“限速”靠 tc 完成。
