[Sysadmins] Ограничить количество tcp соединений для каждого IP

[Sysadmins] Ограничить количество tcp соединений для каждого IP

[Pavel Shurubura]

           Здравствуйте !

  CтОит Linux-сервер как маршрутизатор для
лок.сети.  Подскажите, как можно ограничить количество
tcp соединений от каждого ip-шника в локалке.

Спасибо.

-- 
Администратор узла 
ООО "ИТЦ XXI-век"
Шурубура П.Н.

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Gennadiy Redko]

Pavel Shurubura пишет:
>            Здравствуйте !
> 
>   CтОит Linux-сервер как маршрутизатор для
> лок.сети.  Подскажите, как можно ограничить количество
> tcp соединений от каждого ip-шника в локалке.
Имеются ввиду сессии?
Дело в том, что маршрутизатор не умеет разделять сессии.
Он работает с tcp/udp пакетами.
Для ограничения количества сессий нужно поднять на сервере
какой-нибудь промежуточный сервер.
Например squid для ftp/http-трафика.

> 
> Спасибо.
> 

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Serge]

> Имеются ввиду сессии?
> Дело в том, что маршрутизатор не умеет разделять сессии.
> Он работает с tcp/udp пакетами.
> Для ограничения количества сессий нужно поднять на сервере
> какой-нибудь промежуточный сервер.
> Например squid для ftp/http-трафика.
на предмет чего смотреть в squid для реализации "ограничения количества 
сессий" ?

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Dmytro O. Redchuk]

On Mon, Feb 05, 2007 at 09:02:36AM +0200, Gennadiy Redko wrote:
> Pavel Shurubura пишет:
> >            Здравствуйте !
> > 
> >   CтОит Linux-сервер как маршрутизатор для
> > лок.сети.  Подскажите, как можно ограничить количество
> > tcp соединений от каждого ip-шника в локалке.
> Имеются ввиду сессии?
Как я себе представляю, можно использовать ipset + limit/iptables (или
connlimit).

btw, не пробовал Ж-)


Но. ipset и connlimit в альт не впакованы (М24, по кр.мере).

Да и лимиты весьма условные -- хорошо работают только для относительно
малых величин.


> Дело в том, что маршрутизатор не умеет разделять сессии.
> Он работает с tcp/udp пакетами.
> Для ограничения количества сессий нужно поднять на сервере
> какой-нибудь промежуточный сервер.
> Например squid для ftp/http-трафика.
Или так.

> 
> > 
> > Спасибо.

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Sergey]

On Monday 05 February 2007 12:31, Dmytro O. Redchuk wrote:

> Но. ipset и connlimit в альт не впакованы (М24, по кр.мере).
> 
> Да и лимиты весьма условные -- хорошо работают только для относительно
> малых величин.

О. А я вот, как раз, сижу и думаю на эту тему (connlimit). В смысле сделать 
kernel-feat для текущего ядра или как. Что значит "для относительно малых 
величин" ? Это в смысле количество допустимых коннектов, или количество 
одновременно долбящихся IP ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Dmytro O. Redchuk]

On Mon, Feb 05, 2007 at 12:47:06PM +0400, Sergey wrote:
> On Monday 05 February 2007 12:31, Dmytro O. Redchuk wrote:
> 
> > Но. ipset и connlimit в альт не впакованы (М24, по кр.мере).
> > 
> > Да и лимиты весьма условные -- хорошо работают только для относительно
> > малых величин.
> 
> О. А я вот, как раз, сижу и думаю на эту тему (connlimit). В смысле сделать 
> kernel-feat для текущего ядра или как. Что значит "для относительно малых 
> величин" ? Это в смысле количество допустимых коннектов, или количество 
> одновременно долбящихся IP ?
Для значения лимита :-)

Максимум, кажется, 10000, а при каких значениях работает относительно
аккуратно -- не скажу, не помню и не знаю.

Такое впечатление, что уже при тысячах работает выразительно неаккуратно.
((Тестировал на гигабитных интелах, при где-то 800kpps, кажется; строил
цепочки из таких лимитов и смотрел результаты.))


Возможно, для ваших задач подойдёт.


Да, кстати, -- это касается, вроде бы, только limit (а не столько
connlimit). Точнее, насколько это касается connlimit -- не скажу.


О, и ещё: не ручаюсь за точность результатов :-) Если кто-то вразумит
меня, буду благодарен.

> 
> -- 
> С уважением, Сергей
> a_s_y@sama.ru

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Ilia Menchikh]

В Пнд, 05/02/2007 в 10:30 +0200, Serge пишет:
> > Имеются ввиду сессии?
> > Дело в том, что маршрутизатор не умеет разделять сессии.
> > Он работает с tcp/udp пакетами.
> > Для ограничения количества сессий нужно поднять на сервере
> > какой-нибудь промежуточный сервер.
> > Например squid для ftp/http-трафика.
> на предмет чего смотреть в squid для реализации "ограничения количества 
> сессий" ?
#       acl aclname maxconn number
#         # This will be matched when the client's IP address has
#         # more than <number> HTTP connections established.


-- 
С Уважением
Илья Меньших
ЗАО Издательский дом "Комсомольская Правда"
mailto: <iluxa@kp.ru>
icq: 175037115

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Serge]

В сообщении от 5 февраля 2007 17:17 Ilia Menchikh написал(a):
> В Пнд, 05/02/2007 в 10:30 +0200, Serge пишет:
> > > Имеются ввиду сессии?
> > > Дело в том, что маршрутизатор не умеет разделять сессии.
> > > Он работает с tcp/udp пакетами.
> > > Для ограничения количества сессий нужно поднять на сервере
> > > какой-нибудь промежуточный сервер.
> > > Например squid для ftp/http-трафика.
> >
> > на предмет чего смотреть в squid для реализации "ограничения количества
> > сессий" ?
>
> #       acl aclname maxconn number
> #         # This will be matched when the client's IP address has
> #         # more than <number> HTTP connections established.
ок, а если мне нужно для всех хостов некоего диапозона разрешить только 1 
коннект - нужно будет в acl указывать каждый ip из диапозона? 

Re: [Sysadmins] Ограничить количество tcp соединений для каждого IP

[Dmitriy L. Kruglikov]

На календаре было: Вторник, 06 Февраль 2007 года,
Serge писал(а) в сообщении: 

S == Serge

S> ок, а если мне нужно для всех хостов некоего диапозона разрешить только 1 
S> коннект - нужно будет в acl указывать каждый ip из диапозона? 

Нет .... Нужно будет написать acl на диапазон ...
Например
#       acl aclname src      addr1-addr2/netmask ... (range of addresses)

И будет полезно просто _внимательно_
почитать комментарии в /etc/squid/squid.conf ...

Если вы его не угрохали каким-нибудь webmin, 
который эти комментарии вырезает ...
В крайнем случае, можно вытянуть конфиг из rpm ...




--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_gmail_dot_com      |@_@ |
 DKR6-RIPE                               |!_/ |
 XMPP:dkr6@jabber.ru                    //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Мир подобен постоялому двору: один приходит, другой уходит.
		-- Армянская мудрость