[转帖]限制单个IP并发TCP连接的iptables方法_VMware, Unix及操作系统讨论区_Weblogic技术|Tuxedo技术|中间件技术|Oracle论坛|JAVA论坛|Linux/Unix技术|hadoop论坛

总帖数

每页帖数

1/1页

返回列表

发起投票

查看: 3503 | 回复: 0

主题： [转帖]限制单个IP并发TCP连接的iptables方法

mingrui.li

注册用户

等级：少校
经验：1356
发帖：95
精华：11
注册：2013-1-4
状态：离线
发送短消息息给mingrui.li

加好友发送短消息息给mingrui.li

发消息

发表于：

2013-1-6 10:04:34 | [全部帖] [楼主帖]

楼主

限制单个IP并发TCP连接的方法适应于保护Linux上的各种TCP服务，使用iptables
中patch-o-matic中iplimit补丁来实现，对各种TCP服务比较通用。
做法：
配置Linux核心，使用2.4.20，并使用www.netfilter.org中patch-o-matic中的
base补丁中的iplimit。编译配置安装新核心。
使用www.netfilter.org的 iptables 1.2.8，安装到系统中。

示例：
1 限制连往本机的telnet单个IP并发连接为2个，超过的连接被拒绝：

iptables -I INPUT -p tcp --dport 23 -m iplimit --iplimit-above 2 -j REJECT

2 限制连往本机的web服务，1个C段的IP的并发连接不超过100个，超过的被拒绝：

iptables -I INPUT -p tcp --dport 80 -m iplimit --iplimit-above 100 \
--iplimit-mask 24 -j REJECT