限制单个IP并发TCP连接的iptables方法

anthonyfeng

有些大厦的宽带是使用192.168.x.x 之类的地址，估计亦是使用NAT 的技术上网的，如果我在我的internet www 服务器上使用楼主的技术设置限制10个连接并发，那么此大厦的访问必受影响。

请问有什么办法可以限制大厦内每人对此internet www 服务器并发访问？

JohnBull

原帖由 cexoyq 于 2006-3-29 12:32 发表
connlimit ,对TCP的限制是不是所有的TCP连接？
如：iptables -I FORWARD -p tcp -m connlimit --connlimit-above 10 -j DROP
是不是超过了10个连接就会把这个包给DROP？

iptables -I FORWARD -p tcp --syn -m connlimit --connlimit-above 10 -j DROP

这样负载轻些

colddawn

原帖由 kenduest 于 2006-3-29 14:54 发表


我认为你可以先测过后，可以报告一下您的心得感想

有其他问题可以再讨论。

==

不是全部丢弃，而是有个burst in的算法，这个很早在CU就有帖子讨论了，搜索一下应该能找到。
iplimit确实过时了，没人维护，只有connlimit了。

cexoyq

原帖由 kenduest 于 2006-3-29 14:54 发表


我认为你可以先测过后，可以报告一下您的心得感想

有其他问题可以再讨论。

==

我试过了.好像不行.我限制的是20个TCP,但是用iptables -L
查看FORWARD却用32>20表示,而客户端能正常打开多个TCP连接.

wheel

iptables -I FORWARD -p tcp -m connlimit --connlimit-above 10 -j DROP
iptables: Unknown error 4294967295
为何不可以阿？

wheel

也不可以阿／／
iptables -I FORWARD -p tcp --syn -m connlimit --connlimit-above 10 -j DROP
iptables: Unknown error 4294967295

platinum

modprobe ipt_connlimit 看是否报错

lihn

可以限制UDP的并发链接数码？

dzb_01

原帖由 lihn 于 2006-12-5 14:10 发表
可以限制UDP的并发链接数码？

UDP有连接吗

ksfksf

有时系统会在运行一段时间后会报错 OOP