关于设置tcp连接数的问题

bdyj · 发表于 2006-12-8 08:52:26

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？注册

×

请问这样的tcp连接限制怎么设
局域网内所有的计算机 tcp连接数限制在50 但唯独192.168.0.2这台ftp服务器的连接数限制在1000，请问大家怎么设谢谢

zooyo · 发表于 2006-12-8 10:09:58

把设置1000的规则的IP单独放到顶上，然后下面的设置50。

platinum · 发表于 2006-12-8 10:19:42

原帖由 zooyo 于 2006-12-8 10:09 发表
把设置1000的规则的IP单独放到顶上，然后下面的设置50。

恐怕不行哦，你要了解 connlimit 模块的匹配以及工作机制才可以
依我看，还需要加一条到两条规则，加到 1000 和 50 之间

ssffzz1 · 发表于 2006-12-8 10:29:12

中间不需要加也可以。先设置0.2的为1000，然后设置！0.2的为50

platinum · 发表于 2006-12-8 10:36:44

原帖由 ssffzz1 于 2006-12-8 10:29 发表
中间不需要加也可以。先设置0.2的为1000，然后设置！0.2的为50

呵呵，那你在 Linux 下怎么写呢？
你试过吗？

bdyj · 发表于 2006-12-8 10:38:14

原帖由 zooyo 于 2006-12-8 10:09 发表
把设置1000的规则的IP单独放到顶上，然后下面的设置50。

恐怕不行，我试过因为action 是 drop

zooyo · 发表于 2006-12-8 10:54:27

算了大哥们我把脚本呈上你试试吧！

/ ip firewall mangle
add chain=prerouting src-address=不受限制的内网IP action=mark-connection new-connection-mark=nopcqlimit passthrough=yes comment="" disabled=no
add chain=prerouting connection-mark=nopcqlimit action=accept comment="" disabled=no

把这2条规则放到最上面,然后下面的依旧做连接限制就OK！

ssffzz1 · 发表于 2006-12-8 11:12:20

我觉的IPTABLES这样也可以
-s 192.168.0.2 -m connlimit --connlimit-above 1000 -j DROP
-s ! 192.168.0.2 -m connlimit --connlimit-above 50 -j DROP

不过没论证。

platinum · 发表于 2006-12-8 11:16:26

原帖由 ssffzz1 于 2006-12-8 11:12 发表
我觉的IPTABLES这样也可以
-s 192.168.0.2 -m connlimit --connlimit-above 1000 -j DROP
-s ! 192.168.0.2 -m connlimit --connlimit-above 50 -j DROP

不过没论证。

-s ! 192.168.0.2
那么从外网回来的呢？是否也会被 ! 192.168.0.2 匹配到？

ssffzz1 · 发表于 2006-12-8 11:22:11

也是啊，加一个-o “外网口”

bdyj · 发表于 2006-12-8 11:23:00

我是个超级菜鸟和各位大哥不再一个档次上
我是在 filter rules 里设置的你们在mangle 里设置
请问有什么区别吗？

platinum · 发表于 2006-12-8 11:45:11

我现在有一个问题自己还没有搞清楚
就是

iptables -A FORWARD -d 192.168.0.2 -p tcp -m connlimit --connlimit-above 50 -j DROP

复制代码

与

iptables -A FORWARD -s 192.168.0.2 -p tcp -m connlimit --connlimit-above 50 -j DROP

复制代码

的区别在哪里，他们限制的 TCP 连接数是否有差别
如果弄清楚这个，那么这个问题就很好解决了

parphy · 发表于 2006-12-8 13:31:30

原帖由 platinum 于 2006-12-8 11:45 发表
我现在有一个问题自己还没有搞清楚
就是

iptables -A FORWARD -d 192.168.0.2 -p tcp -m connlimit --connlimit-above 50 -j DROP

与

iptables -A FORWARD -s 192.168.0.2 -p tcp -m connlimit --con ...

如果照你的写法，我觉得是一样的，-s和-d没有方向
但如果将上面的-p tcp 写成-p tcp --tcp-flags SYN
如此以来就可以获得你所需要的方向了，有条件的话可以自己做一下试验

ssffzz1 · 发表于 2006-12-8 13:54:56

-s 是源地址 -d是目的地址。他们限制的方向不一样。但如果192.168.0.2没有对外服务只是上网，这样应该效果查不多。但如果有服务，应该是不一样的。

platinum · 发表于 2006-12-8 14:51:45

我认为 ssffzz1 说的有道理，其实是不一样的

账号		自动登录	找回密码
密码			注册

[其它] 关于设置tcp连接数的问题

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。