问个问题。

faint

规定每个IP最多20个连接，最多10个有效TCP连接。
请问如何才能实现呢？谢谢!

memory

不好办，主要是iptables的conntrack模块中总是有很多早已断开的连接，无法精确控制。你可以试一试connlimit 模块，反正我是没有试验成功过。

faint

的确不太好办。可能需要iptables 的extensions。有时间再看看。

晨想

不知道这个怎样？ pom-base里边的。


iptables connlimit match
Author: Gerd Knorr <kraxel@bytesex.org>
Status: ItWorksForMe[tm]

This adds an iptables match which allows you to restrict the
number of parallel TCP connections to a server per client IP address
(or address block).

Examples:

# allow 2 telnet connections per client host
iptables -p tcp --syn --dport 23 -m connlimit --connlimit-above 2 -j REJECT

# you can also match the other way around:
iptables -p tcp --syn --dport 23 -m connlimit ! --connlimit-above 2 -j ACCEPT

# limit the nr of parallel http requests to 16 per class C sized
# network (24 bit netmask)
iptables -p tcp --syn --dport 80 -m connlimit --connlimit-above 16 \
        --connlimit-mask 24 -j REJECT