如何限制UDP并发连接数

hlidea

网上查到可以用
iptables -I FORWARD -p! tcp   -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP
但是我要加一个端口范围,比如--dport 1234:5678,
iptables -I FORWARD -p! tcp --dport 1234:5678 -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP是不行的,我想是因为!tcp还包括ICMP
直接指定udp协议iptables -I FORWARD -p udp --dport 1234:5678 -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP也不行,报错iptables: Target problem

怎样限制UDP的并发连接数呢?(虽说UDP是无连接的,此处就是为了方便表达)
udp 在 netfilter 里面可以被 conntrack 的能否根据这个特性来判断呢？

platinum

如果有 udp 包发出，无论是否有回包，都会记录到 netfilter 的 conntrack 里，而这个记录是有 timed out 值的
换言之，若 timed out 值没到，有包闯入，就会算一个“连接”，那么统计起来就太不准了