限制单个IP并发TCP连接的iptables方法

限制单个IP并发TCP连接的方法适应于保护Linux上的各种TCP服务，使用iptables
中patch-o-matic中iplimit补丁来实现，对各种TCP服务比较通用。
做法： 
配置Linux核心，使用2.4.20，并使用www.netfilter.org中patch-o-matic中的
base补丁中的iplimit。编译配置安装新核心。
使用www.netfilter.org的 iptables 1.2.8，安装到系统中。

示例：
1 限制连往本机的telnet单个IP并发连接为2个，超过的连接被拒绝：
iptables -I INPUT -p tcp --dport 23 -m iplimit --iplimit-above 2 -j REJECT

2 限制连往本机的web服务，1个C段的IP的并发连接不超过100个，超过的被拒绝：
iptables -I INPUT -p tcp --dport 80 -m iplimit --iplimit-above 100 
--iplimit-mask 24 -j REJECT

hss202 回复于：2003-11-07 09:44:27

我用这个命令后提示： iptables: No chain/target/match by that name 什么意思

seabillow 回复于：2003-11-27 17:41:40

hss202 回复于：2003-11-07 09:44:27  我用这个命令后提示：  iptables: No chain/target/match by that name  什么意思    我的也是这样呀！ 怎么办？

5417 回复于：2003-12-15 13:53:22

[root@flyyoung root]# iptables -I INPUT -p tcp --dport 2099 -m iplimit --iplimit-above 2 -j REJECT iptables: No chain/target/match by that name 我的也是！

5417 回复于：2003-12-15 13:55:46

编译内核选择了iplimit lib库也有啊 [root@flyyoung iptables]# ls libip6t_eui64.so   libip6t_multiport.so  libipt_ecn.so      libipt_mark.so        libipt_rpc.so       libipt_TOS.so libip6t_hl.so      libip6t_owner.so      libipt_ECN.so      libipt_MARK.so        libipt_SAME.so      libipt_ttl.so libip6t_HL.so      libip6t_standard.so   libipt_esp.so      libipt_MASQUERADE.so  libipt_SNAT.so      libipt_TTL.so libip6t_icmpv6.so  libip6t_tcp.so        libipt_helper.so   libipt_MIRROR.so      libipt_standard.so  libipt_udp.so libip6t_length.so  libip6t_udp.so        libipt_icmp.so     libipt_multiport.so   libipt_state.so     libipt_ULOG.so libip6t_limit.so   libipt_ah.so          libipt_iplimit.so  libipt_owner.so       libipt_TARPIT.so    libipt_unclean.so libip6t_LOG.so     libipt_conntrack.so   libipt_length.so   libipt_physdev.so     libipt_tcpmss.so libip6t_mac.so     libipt_DNAT.so        libipt_limit.so    libipt_pkttype.so     libipt_TCPMSS.so libip6t_mark.so    libipt_dscp.so        libipt_LOG.so      libipt_REDIRECT.so    libipt_tcp.so libip6t_MARK.so    libipt_DSCP.so        libipt_mac.so      libipt_REJECT.so      libipt_tos.so [root@flyyoung iptables]# pwd /lib/iptables

love100 回复于：2004-04-24 08:59:52

可能是iplimit模块没装吧！

原文转自：http://www.ltesting.net