# Caddyfile
{
    admin 127.0.0.1:2999
}

https://api.example.com {
    encode zstd gzip

    # 大文件响应也压缩（对 >1MB 的 JSON 效果显著）
    @large {
        header Content-Type application/json
        expr `len(resp.Header.Content-Length) > 1048576`
    }
    encode @large zstd

    handle /static/* {
        # 静态资源直接缓存，避免重复传输
        header Cache-Control "public, max-age=86400"
        try_files {path} /static/404.html
    }

    reverse_proxy backend:8080
}

@cacheable {
    header Cache-Control "public, max-age=300"
    not expression `len(req.Header.Authorization) > 0`
}

cache @cacheable 5m

handle /downloads/* {
    # 302 重定向到 Cloudflare R2 / S3 预签名 URL
    reverse_proxy https://cdn.example.com
}

# 确认工具链
sudo apt install -y iproute2
ip link show
# 记下你的 VPS 出口网卡名（多数是 eth0 或 ens3）

#!/usr/bin/env bash
# /usr/local/bin/setup-tc.sh
set -euo pipefail

IFACE="eth0"            # 你的出口网卡
TOTAL_KBPS=100000       # 总带宽 100Mbps（改成你的实际值）

# 1. 清掉已有 tc 配置
tc qdisc del dev "$IFACE" root 2>/dev/null || true

# 2. 建 root 队列：HTB（分层）
tc qdisc add dev "$IFACE" root handle 1: htb default 30

# 3. 3 个 class：
#    class 1: 正常用户（80% 带宽 = 80Mbps）
tc class add dev "$IFACE" parent 1: classid 1:1 \
  htb rate 80mbit ceil 100mbit

#    class 2: 管理面（10% = 10Mbps，最高优先级）
tc class add dev "$IFACE" parent 1: classid 1:2 \
  htb rate 10mbit ceil 100mbit prio 1

#    class 3: 突发/爬虫（10% = 10Mbps，最低优先级）
tc class add dev "$IFACE" parent 1: classid 1:3 \
  htb rate 10mbit ceil 20mbit prio 3

# 4. 每个 class 下面挂 SFQ（stochastic fair queueing）
#    公平分配同一 class 内的多条流
for c in 1 2 3; do
  tc qdisc add dev "$IFACE" parent 1:$c handle $c: sfq perturb 10
done

echo "✅ tc HTB setup done"
tc -s class show dev "$IFACE"

sudo nft add table tcindex
sudo nft add chain tcindex ingress { type filter hook ingress; }

# 管理面：ssh/ansible（22, 2222 端口）→ class 2
sudo nft add rule tcindex ingress tcp dport 22 tc index 1:2
sudo nft add rule tcindex ingress tcp dport 2222 tc index 1:2

# 正常用户：HTTP/HTTPS → class 1
sudo nft add rule tcindex ingress tcp dport { 80, 443 } tc index 1:1

# 默认：其他所有 → class 3（突发/爬虫）
# （没有默认规则时，包走 default 30 = class 3）

# /etc/systemd/system/tc-setup.service
[Unit]
Description=Setup tc HTB tree
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/local/bin/setup-tc.sh
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

sudo systemctl enable --now tc-setup.service
sudo systemctl cat tc-setup.service

sudo nft add table tcindex
sudo nft add chain tcindex forward { type filter hook forward; }

# 1. 单 IP 速率限制：>100 req/s 直接丢
#    （用 packet bytes 估算 QPS，100 req/s ≈ 100MB/min 的包元数据）
sudo nft add rule tcindex forward ip saddr type ipv4 ip saddr .iifname iifname != "eth0" \
  counter limit rate over 100 pps \
  drop

# 2. 大文件限流：响应 >5MB 的连接降到 512KB/s
#    （用 conntrack 跟踪已传输字节，>5MB 后限速）
sudo nft add rule tcindex forward ct state established ct original tcp dport 443 \
  counter limit rate over 5mbytes / sec \
  tc index 1:3   # 丢进 class 3（低优先级 10% 带宽）

# 3. 总出口 cap：90% 带宽（防整体突发）
sudo nft add rule tcindex forward counter limit rate over 90mbytes / sec \
  drop

# 4. 爬虫 UA 黑名单（应用层识别后打标）
#    （这里演示用源 IP 段，实际建议配合 fail2ban 动态加入）
sudo nft add rule tcindex forward ip saddr { 1.2.3.4/32, 5.6.7.0/24 } \
  counter drop

sudo nft add table tcindex
sudo nft add chain tcindex ingress { type filter hook ingress priority mangle; }

# 管理面 → class 2
sudo nft add rule tcindex ingress tcp dport { 22, 2222 } tc index 1:2
# 用户 → class 1
sudo nft add rule tcindex ingress tcp dport { 80, 443 } tc index 1:1

# 出口限流（forward chain）
sudo nft add chain tcindex forward { type filter hook forward; }
# 单 IP >100 pps → 丢
sudo nft add rule tcindex forward ip saddr type ipv4 \
  limit rate over 100 pps drop
# 总出口 >90% → 丢
sudo nft add rule tcindex forward \
  limit rate over 90mbytes/sec drop

# 持久化
sudo nft list ruleset > /etc/nftables/tcindex.nft
sudo nft -f /etc/nftables/tcindex.nft

# 每 2 秒刷新
watch -n2 'tc -s class show dev eth0 | grep -E "class|bytes|sent|sent|dropped"'

sudo nft -s list ruleset
# 看每条规则的 counter 列

pip install pyroute2
# 写个 5 行脚本定期 dump tc 统计 → /metrics