PF + HFSC не дает гарантированной ширины канала

[castor]

Пытаюсь настроить PF с приоритизацией через HFSC (пробовал через CBQ - выяснилось, что не может делать borrow). Теперь в другом проблема - трафик, который должен быть ограничен 25%, занимает почти всю полосу и не дает идти трафику, у которого приоритет realtime 50%.
Посмотрите, пожалуйста, где может быть ошибка.
Шлюз на FreeBSD 9.0, собрано ядро с PF и ALTQ. Два физических интерфейса ($int_if - локальный) + ADSL-туннель. На tun0 ($wan_if) сделан NAT средствами самого PF.
Конфиг PF (не относящиеся к HFSC строки вынул):

Код: Выделить всё

altq on $int_if hfsc bandwidth 99Mb queue { local internet }
queue local bandwidth 98Mb hfsc (upperlimit 98% default)                                                           
queue internet bandwidth 247Kb hfsc { ack ssh bulk web }                                                                    
queue   ack  bandwidth 10% hfsc (realtime  10%)                                                                                 
queue   ssh  bandwidth 50% hfsc (realtime  50%)                                                                    
queue   bulk bandwidth 15% hfsc                                                                                                 
queue   web  bandwidth 25% hfsc (realtime 25%)

nat on $wan_if from <lan> to any -> ($wan_if)

# Пробовал делать pass out on $wan_if - не рассовывает по очередям совсем
pass in  on $int_if from <lan> to ($int_if) queue local                                                                        
pass in  on $int_if from <lan> to !<lan> queue bulk                                                                            
pass in  on $int_if proto tcp from <lan> to !<lan> port http queue (web ack)                     
pass in  on $int_if proto tcp from <lan> to !<lan> port ssh  queue ssh

Насколько я могу судить, SSH-трафик всегда должен быть не медленнее 50%. Пакеты по очередям рассовываются, но при этом скорость HTTP-трафика достигает процентов 90, а SSH тормозит безбожно.

Код: Выделить всё

pfTop: Up Queue 1-8/8, View: queue, Cache: 10000                        14:22:46

QUEUE               BW SCH  PR  PKTS BYTES DROP_P DROP_B QLEN BORR SUSP P/S  B/S
root_xl1           99M hfsc  0     0     0      0      0    0             0    0
 local             98M hfsc      430  117K      0      0    0           1.0  177
 internet         247K hfsc        0     0      0      0    0             0    0
  ack            24700 hfsc      241 14562      0      0    0             0    0
  dns            12350 hfsc        7  1529      0      0    0             0    0
  ssh             123K hfsc     1962 2828K      0      0    0             0    0
  bulk           37050 hfsc      762  586K      0      0    0             0    0
  web            49400 hfsc     2819 3861K      0      0    0             0    0

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[castor]

Автору, выбирайте пожалуйста раздел соответствуюший тематике вашего сообщения.

Простые/общие вопросы по UNIX системам. Спросите здесь, если вы новичек

Я не новичЕк, мне это претит. А так да, сначала хотел в этот раздел запостить.

[Nardamon]

Ну тут да, модеры полное нубло.

Сложные конфиги нетграфа и пф , которые выкладывают люди считаются новичками.
Разжёвывание же установки МС из пакетов "PRO" темами.

А по теме, если не установлен аперлимит в очереди, то оно будет пытаться занять весь канал при наличии свободных ресурсов.

[castor]

Апперлимиты работают нормально, если их назначить. Но суть в том, что мне не нужно ограничивать максимальную скорость web-трафика. Я хочу, чтобы web-трафик не мешал моим удаленным SSH-сессиям.
Может быть я просто неправильно понял документацию? Realtime же вроде означает, что этот кусок полосы будет отдаваться очереди вне зависимости от того, чего хотят другие очереди. Или он работает только на верхнем уровне иерархии... кстати, надо попробовать.

[Dark_ASU]

realtime это та полоса которая гарантирована для данной полосы. Правда был на одной машине глюк что нужно было указывать в mb\kb, проценты не работали.