请教关于iptables 防CC的策略。

cnmt

请教关于iptables 防CC的策略。
在网上找到的：
1)控制单个IP的最大并发连接数

iptables -I INPUT -p tcp --dport 80 -m connlimit  --connlimit-above 50 -j REJECT #允许单个IP的最大连接数为 30
#默认iptables模块不包含connlimit,需要自己单独编译加载，请参考该地址
http://sookk8.blog.51cto.com/455855/280372不编译内核加载connlimit模块


(2)控制单个IP在一定的时间（比如60秒）内允许新建立的连接数

iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT

iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT
#单个IP在60秒内只允许最多新建30个连接
---------------------------------------------------------------------------------------------------------------------------------------


共三行代码。最上和最下面执行都没问题。。。中间的执行提示：iptables: Invalid argument. Run `dmesg' for more information.

是什么情况。谢谢。

lolizeppelin

照着抄你都能抄错

看清楚几个“-”可以么.....

还有都搞linux了还用全角...

井蛙夏虫

回复 12# cnmt
http://bbs.chinaunix.net/thread-4081206-1-1.html

   

cnmt

提示：
Try `iptables-restore -h' or 'iptables-restore --help' for more information.

cnmt

回复 4# lolizeppelin


-A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –set –name WEB –rsource
-A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –update –seconds 5 –hitcount 20 –rttl –name WEB –rsource -j DROP

这样写对了吧。5秒20个链接。。
对论坛来说。5秒20个是不是少点。


   

cnmt

顶顶。顶顶。

cnmt

lolizeppelin 发表于 2013-07-05 10:55
--name 这个是随便你自己写的，你想写ssh就ssh，想写其他的就写其他的....
和你后面drop规则里的name对应就 ...

好人帮到底。你帮我改一下得了。我存新手。

lolizeppelin

--name 这个是随便你自己写的，你想写ssh就ssh，想写其他的就写其他的....
和你后面drop规则里的name对应就可以了

cnmt

lolizeppelin 发表于 2013-07-05 09:48
大哥你不会照着改啊?还要我吧端口改成你的啊

你这不是SSH的吗。

lolizeppelin

cnmt 发表于 2013-07-05 09:36
朋友。我要的是防CC的。

大哥你不会照着改啊?还要我吧端口改成你的啊