讨论一下：如何限制单个IP在指定时间内的连接数限制

dreamice

原帖由 richardhesidu 于 2009-3-19 10:22 发表
不知道是不是我理解错了。如果要限制指定时间内的连接数，跟踪连接状态是必须的吧。同样也有何判断“当完成一个连接”的问题。

应用层也可以做链接跟踪么？不过在应用层做，是不是performance有很大的影响。

dreamice

原帖由 platinum 于 2009-3-19 11:15 发表
dreamice 有兴趣可以看一下 connlimit 的代码
它只分析 UDP 和 TCP 协议
对于 UDP 协议，他会判断 NEW 包后有没有 REPLY 包，如果有则视为连接建立
对于 TCP 协议，除了有 UDP 的判断方式以外，还针对 TCP 的 ...

白金兄说得是xt_limit.c这个文件么？
感觉它还有个时间值，暂时没有研究透这个，不知道是否可以设定时间，来支持定时内的链接限制。

dreamice

多谢白金兄指点

dreamice

原帖由 platinum 于 2009-3-19 14:21 发表

客气，头像里的 BB 的 PP 让我打两下，好想拍拍

拒绝暴力

dreamice

原帖由 gejiajie_01 于 2009-3-19 19:12 发表
最近在做anti-ddos的功能，MS好像和楼主要求差不多，包括synflood,udpflood,icmpflood等

能谈谈你这个做法的实现么？

dreamice

这个也只能对付比较简单的吧

dreamice

原帖由 emmoblin 于 2009-3-22 23:46 发表
这都是防火墙的基本功能，防火墙中都是自己编程实现的。编程实现其实很简单的，就是加一个时间的判断。

什么基本功能？

dreamice

原帖由 刘世伟 于 2009-3-22 09:03 发表
connlimit不行的， 只能控制tcp,
要用hashlimit , 對源ip做hash運算，然后落到不同的池子里， 池子滿了的就限制。
iptables有hashlimit,  connlimit模塊好像已經淘汰了

hashlimit,  connlimit这两者之间有什么差别？

dreamice

原帖由 platinum 于 2009-3-23 09:36 发表

一个是限制每连接包速率的
一个是限制每连接连接数的
二者有功能不同
hashlimit 可以看做是 limit 模块的“每 IP”升级版，而 connlimit 是单独另一个功能模块，只不过相对 2.4 内核来说，2.6 内核加入了对 ...

白金兄说得这个每连接连接数应该是每IP吧，呵呵。
看来，这两个东西加起来应该很有用啊

dreamice

打广告的也跑这个帖子来了，昏