讨论一下：如何限制单个IP在指定时间内的连接数限制

Godbach

原帖由 richardhesidu 于 2009-3-19 10:22 发表
不知道是不是我理解错了。如果要限制指定时间内的连接数，跟踪连接状态是必须的吧。

这个可能就是根据需要，可以做简化一些，也可以做复杂一些吧

dreamice

原帖由 richardhesidu 于 2009-3-19 10:22 发表
不知道是不是我理解错了。如果要限制指定时间内的连接数，跟踪连接状态是必须的吧。同样也有何判断“当完成一个连接”的问题。

应用层也可以做链接跟踪么？不过在应用层做，是不是performance有很大的影响。

platinum

dreamice 有兴趣可以看一下 connlimit 的代码
它只分析 UDP 和 TCP 协议
对于 UDP 协议，他会判断 NEW 包后有没有 REPLY 包，如果有则视为连接建立
对于 TCP 协议，除了有 UDP 的判断方式以外，还针对 TCP 的部分 flag 进行了判断，比如 RST、FIN 等，强行使自己的连接计数 -1

richardhesidu

原帖由 dreamice 于 2009-3-19 10:43 发表


应用层也可以做链接跟踪么？不过在应用层做，是不是performance有很大的影响。

我把话题说岔了。
举例来说，ftp服务器程序。当然可以对连接到服务器的ip进行跟踪。
可以指定单个ip在某个时间里获得服务的次数。

不过你在说防火墙，所以回到你的话题。

dreamice

原帖由 platinum 于 2009-3-19 11:15 发表
dreamice 有兴趣可以看一下 connlimit 的代码
它只分析 UDP 和 TCP 协议
对于 UDP 协议，他会判断 NEW 包后有没有 REPLY 包，如果有则视为连接建立
对于 TCP 协议，除了有 UDP 的判断方式以外，还针对 TCP 的 ...

白金兄说得是xt_limit.c这个文件么？
感觉它还有个时间值，暂时没有研究透这个，不知道是否可以设定时间，来支持定时内的链接限制。

platinum

原帖由 dreamice 于 2009-3-19 12:20 发表


白金兄说得是xt_limit.c这个文件么？
感觉它还有个时间值，暂时没有研究透这个，不知道是否可以设定时间，来支持定时内的链接限制。

哦不是，我说的是 xt_connlimit 这个
limit 是用来匹配单位时间内的包速率的
connlimit 是用 hash 来限制某网段内每 IP 连接数的

dreamice

多谢白金兄指点

platinum

原帖由 dreamice 于 2009-3-19 14:00 发表
多谢白金兄指点

客气，头像里的 BB 的 PP 让我打两下，好想拍拍

Godbach

原帖由 platinum 于 2009-3-19 14:21 发表

客气，头像里的 BB 的 PP 让我打两下，好想拍拍

呵呵，谁看到都想打PP

dreamice

原帖由 platinum 于 2009-3-19 14:21 发表

客气，头像里的 BB 的 PP 让我打两下，好想拍拍

拒绝暴力