Dotaz: Omezenni ip_conntrack

[*Mirda*]

Ahoj,
da se nejakym zpusobem omezit pocet spojeni v ip_conntrack pro jednotlive IP adresy? Jeden clovek v siti mi pomoci DC++ a podobnych ksindlu obcas nekde prekroci nastaveny limit a router skoro nejede.
Debian Woody.

Odpovědi

[Michal Buchtík]

Skusil bych pravidla do iptables

-m limit ........

viz. http://support.imagestream.com/Blocking_Common_Worms.html

[*Mirda*]

Na -m limit jsem narazil pouze ve forme zavislosti poctu paketu za casovou jednotku. To mi stale neomezi pocet spojeni. Treba jina formulace kterou neznam?

Napadlo me neco takoveho:
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -s 1.2.3.4/32 -m limit (nevim co) -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -d 1.2.3.4/32 -m limit (nevim co) -j ACCEPT

Nize mam totiz:
iptables -A FORWARD -m state --state NEW -s 1.2.3.4/32 -j ACCEPT
iptables -A FORWARD -m state --state NEW -d 1.2.3.4/32 -j ACCEPT

[jirka]

p2p vytváří současně spoustu nových připojení, nebylo by lepší omezovat nové připojení?

[*Mirda*]

Ale na zaklade ceho? Pokud tam bude neco jako limit 1/s, tak ty pokusy o nova spojeni v prvni vterine odmitne, ale v dalsich uz prodje a usadi se v ip_conntrack.
V soucasne chvili je na tom routeru navazano 36351 spojeni a ztoho 33250 je na jedny IP. O zbytek se deli asi 30 lidi.

[mrak]

Tento problem sem taky resil ... problem byl v tom ze tam zustavali spojeni co byli ESTABLISHED ale ve skutecnosti to jsou rozpadla neukoncena spojeni ktere v te tabulce zustavaji jeste 5 dni
do sysctl.conf jsem dal:

net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=16380

po restartu iptables je ale potreba udealt sysctl -p

[ivok]

možná iplimit?

[karel]

nebo skus connlimit s netlilter.com. Tam de nastavim maximalni pocet spojeni na cokoliv. takze treba na port 150:65000 das max 100 a je klid.
Jeste pomuze zvjetsi suobor ip_conntrack
treba takhle
sysctl -w net.ipv4.ip_conntrack_max="50024"