Linux Forum — Ограничение количество сессий для 1 IP

Re: Ограничение количество сессий для 1 IP

null@example.com (a-x) — Mon, 14 Feb 2011 06:55:44 +0000

Вам же советовали изучить больше iptables, вместо этого идут какие-то обиды про нежелание помочь.
Прочитав хоть немного поняли бы сразу, что FORWARD это цепочка, пакет идет по ней пока к нему не будет применено действие.
У вас перед connlimit стоит правило -A FORWARD -j DROP, которое означает любой пакет отбросить, т.о. до ваших лимитов ни один пакет не дойдет никогда.
Как сделать, уже много раз говорили и примеры давали.
Пускаете сначала без ограничений стандартные соединения (веб, фтп, почта и т.д.), а остальное ограничиваете.

Re: Ограничение количество сессий для 1 IP

null@example.com (astalavista) — Fri, 11 Feb 2011 20:02:19 +0000

-P FORWARD DROP
-A FORWARD -i lo -j ACCEPT 
-A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state ESTABLISHED -j ACCEPT 
-A FORWARD -p tcp -m state --state RELATED -m tcp --dport 1024:65535 -j ACCEPT 
-A FORWARD -p udp -m state --state RELATED -m udp --dport 1024:65535 -j ACCEPT 
-A FORWARD -p icmp -m state --state RELATED -j ACCEPT 
-A FORWARD -j HOST_BLOCK 
-A FORWARD -i eth2 -j MAC_FILTER 
-A FORWARD -i eth0 -o ! eth0 -j UPNP_FORWARD 
-A FORWARD -j SPOOF_CHK 
-A FORWARD -i eth0 -j VALID_CHK 
-A FORWARD -i eth2 -o eth2 -j ACCEPT 
-A FORWARD -i eth2 -o eth0 -j LAN_INET_FORWARD_CHAIN 
-A FORWARD -m limit --limit 1/min --limit-burst 3 -j LOG --log-prefix "Dropped FORWARD packet: " --log-level 6 
-A FORWARD -j DROP 
-A FORWARD -s 192.168.0.2/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.3/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.4/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.5/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.6/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

Re: Ограничение количество сессий для 1 IP

null@example.com (a-x) — Fri, 11 Feb 2011 06:33:04 +0000

astalavista пишет:

Kettler пишет:
Просто добавь в скрипт и подставь свой ип и проверяй
iptables -A FORWARD -s 172.16.0.33 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP
Не режет. Все равно то ip который подставляю прет в сеть с кучей соединений и интернет очень тормозит из-за него.

Можно увидеть вывод iptables -S FORWARD

Re: Ограничение количество сессий для 1 IP

null@example.com (astalavista) — Thu, 10 Feb 2011 20:53:45 +0000

Kettler пишет:

Просто добавь в скрипт и подставь свой ип и проверяй
iptables -A FORWARD -s 172.16.0.33 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

Не режет. Все равно то ip который подставляю прет в сеть с кучей соединений и интернет очень тормозит из-за него.

Re: Ограничение количество сессий для 1 IP

null@example.com (astalavista) — Tue, 08 Feb 2011 11:52:39 +0000

drBatty пишет:

кстати. знаю, но не скажу wink
угадайте - почему?

Потому что просто помочь человеку в решении проблемы стало для многих невозможным. Из-за того что многие пытаются думать только о себе. И не понимают, что на форум просто может обратиться человек, который не спец в данной области, но спец в другой и вместо того, чтобы помочь комуто всегда думают только о своих интересах. Это предположение, а не утверждение...

Re: Ограничение количество сессий для 1 IP

null@example.com (Kettler) — Tue, 08 Feb 2011 08:16:39 +0000

astalavista пишет:

Имеется 10 человек. Каждый имеет скорость 1 Мбит/с. Но из-за количества одновременных соединений от некоторых человек (торренты), забивается канал и у остальных проблемы. Нужно ограничить количество одновременных сессий торрента до 3 , для каждого ip адреса.

Просто добавь в скрипт и подставь свой ип и проверяй
iptables -A FORWARD -s 172.16.0.33 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP
Если будет ругать на connlimit попробуй
modprobe connlimit
modprobe xt_connlimit

Re: Ограничение количество сессий для 1 IP

null@example.com (drBatty) — Tue, 08 Feb 2011 08:04:50 +0000

кстати. знаю, но не скажу
угадайте - почему?

Re: Ограничение количество сессий для 1 IP

null@example.com (astalavista) — Mon, 07 Feb 2011 20:57:22 +0000

Имеется 10 человек. Каждый имеет скорость 1 Мбит/с. Но из-за количества одновременных соединений от некоторых человек (торренты), забивается канал и у остальных проблемы. Нужно ограничить количество одновременных сессий торрента до 3 , для каждого ip адреса.

Re: Ограничение количество сессий для 1 IP

null@example.com (Kettler) — Mon, 07 Feb 2011 20:12:08 +0000

Нет а давай отпиши всё от а до я что хочешь а тут поможем.

Re: Ограничение количество сессий для 1 IP

null@example.com (astalavista) — Mon, 07 Feb 2011 18:30:37 +0000

.... нет не провайдер. Я уже проблему обьяснил несколько раз. Если нет решения или нет возвожности помочь реальным примером, то и фиг с ним. Я реально устал одно и тоже говорить 10 раз...

Re: Ограничение количество сессий для 1 IP

null@example.com (a-x) — Mon, 07 Feb 2011 14:26:44 +0000

Kettler пишет:

astalavista вы провайдер или кто? Вам уже сказали закрыть все порты и открыть нужные
Сначала найдите проблему потом можно решить.

Какие порты Вы так настойчиво предлагате закрыть? Обрубить торрент так можно, так вот тогда клиенты и съедят smile

Re: Ограничение количество сессий для 1 IP

null@example.com (a-x) — Mon, 07 Feb 2011 14:19:15 +0000

Kettler пишет:

Тут надо по другому. Иметь 2 цепочки
В первую цепочку гнать нам основые порты (53 80 110 5190 и т. д)
Во вторую всё что нам не известно и всякую CENSORED. Но ещё чтоб на засрали канал настроить tc ну это уже приоритет прохождения.

Так и было сказано, внимательнее надо бы smile

Re: Ограничение количество сессий для 1 IP

null@example.com (Kettler) — Mon, 07 Feb 2011 14:03:03 +0000

astalavista вы провайдер или кто? Вам уже сказали закрыть все порты и открыть нужные
Сначала найдите проблему потом можно решить.

Re: Ограничение количество сессий для 1 IP

null@example.com (astalavista) — Mon, 07 Feb 2011 14:00:10 +0000

Помогите пожалуйста практическим советом. Если можно скиньте скрипт, который добавляет эти правила в iptables. Я настолько уже устал, если честно, от этого поиска решения и т.п. что мне уже ...

Re: Ограничение количество сессий для 1 IP

null@example.com (Kettler) — Mon, 07 Feb 2011 13:43:08 +0000

Тут надо по другому. Иметь 2 цепочки
В первую цепочку гнать нам основые порты (53 80 110 5190 и т. д)
Во вторую всё что нам не известно и всякую CENSORED. Но ещё чтоб на засрали канал настроить tc ну это уже приоритет прохождения.