讨论一下：如何限制单个IP在指定时间内的连接数限制

dreamice

发个讨论题目吧：

如何有效的限制单个IP在指定时间内的连接数？或者说流量访问限制？
这个应该是基于conntrack来实现吧。

richardhesidu

iptables就可以实现吧

Godbach

原帖由 dreamice 于 2009-3-18 16:03 发表
发个讨论题目吧：

如何有效的限制单个IP在指定时间内的连接数？或者说流量访问限制？
这个应该是基于conntrack来实现吧。

那也就是控制某个源IP多长时间内发多少个SYN链接吗？

dreamice

原帖由 Godbach 于 2009-3-18 16:17 发表


那也就是控制某个源IP多长时间内发多少个SYN链接吗？

应该可以这么认为，因为syn连接的过程，相当于建立了一条连接；但连接失败的就另当别论了。

dreamice

原帖由 richardhesidu 于 2009-3-18 16:09 发表
iptables就可以实现吧

Iptables有这么个功能可以实现统计以及时间限制么？

platinum

原帖由 dreamice 于 2009-3-18 16:03 发表
发个讨论题目吧：

如何有效的限制单个IP在指定时间内的连接数？或者说流量访问限制？
这个应该是基于conntrack来实现吧。

应该换个思路考虑：如何在某时间限制某数量的连接
根据 xt_connlimit.c 提供的功能，可以做到限制某连接多少个连接数
现在差的就是时间，但好在有 xt_time.c 可以做到
因此只要在特定时间做 connlimit，或者用把 time 和 connlimit 一起用即可


统计可以改写 connlimit，他能限制，就必然有统计，你只要做输出接口就行了

richardhesidu

原帖由 dreamice 于 2009-3-18 16:37 发表


Iptables有这么个功能可以实现统计以及时间限制么？

我想到的是iptables的connlimit模块，不过看来你的需求比这个复杂。

Godbach

要是自己实现的话，内核中hash+统计基数就可以

dreamice

原帖由 platinum 于 2009-3-18 16:40 发表

应该换个思路考虑：如何在某时间限制某数量的连接
根据 xt_connlimit.c 提供的功能，可以做到限制某连接多少个连接数
现在差的就是时间，但好在有 xt_time.c 可以做到
因此只要在特定时间做 connlimit，或 ...

看来改一下这个connlimit模块就可以定制自己的需求了
回去研究研究

dreamice

原帖由 Godbach 于 2009-3-18 17:13 发表
要是自己实现的话，内核中hash+统计基数就可以

God兄上次做那个红黑树来统计IP的做得如何？
我觉得你那个可以拿来借鉴一下