iptables限制并发连接数

2013年03月26日 ? CentOS, Iptables, Linux/Unix ?

depmod -a

此命令的作用便是找出所有可用的动态模块，这个命令是必须的，它不会有输出。
下一步是将模块插入内核

modprobe ipt_connlimit

同样不会有输出，没提示出错便表示成功了。（注意：insmod也是将模块插入内核，但是它不会自动清理模块的依赖关系，若依赖模块没先插入，便直接报错，不推荐使用）
这时我们可以使用connlimit匹配项了

(1)控制单个IP的最大并发连接数

iptables -A RH-Firewall-1-INPUT -p tcp --dport 80 -m connlimit --connlimit-above 30 -j DROP #允许单个IP的最大连接数为30

(2)控制单个IP在一定的时间（比如60秒）内允许新建立的连接数

iptables -A RH-Firewall-1-INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j DROP iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT #单个IP在60秒内只允许最多新建30个连接

这里再例出对connlimit两个参数的研究：

--connlimit-above x 限定并发连接的最大数目
--connlimit-mask x 限定某个网络的最大并发连接数，x为32时，代表具体的主机，为默认值。x的值一般是代表A,B,C三类网络的8,16,24。