iptables connlimit не работает?

а все правила выкинь...

iptables -nvL

выкинуты. только одно это правило указано.

Chain INPUT (policy ACCEPT 138K packets, 26M bytes)
pkts bytes target prot opt in out source destination
0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 #conn/32 > 5 tcp dpt:80

-A INPUT -i куда... не пробовал?

с -i eth1 ничего не изменилось

Добавь --syn, как указано в примерах для connlimit в man'е на iptables

--syn тоже не помогает.

Возможно следует обновиться. У меня все заработало. И без --syn тоже. На хосте пятый дебиан, ядро с поддержкой OpenVZ, последние обновления...

Отвечает Капитан Очевидность.

man iptables на предмет --connlimit-mask

>man iptables на предмет --connlimit-mask

mask у него 32. Т.е. учет по отдельным айпишникам.
Как видно из первого поста, тестил он с одной клиентской машины. Навряд ли там использовались несколько адресов.

Скорее всего просто ядро кривое.

Правильно. По IPшникам. Но при этом показывает в качестве числа подключений - общее число. Там вполне может сидеть сколько-у-него-там юзеров по одному подключению. Если он хочет сделать всего пять подключений - нужно указывать маску 0. Если он хочет сделать пять подключений на ип - нужно показать что у него один ип имеет больше пяти подключений.

httpd? apache? а нахер, извините, iptables?

ну, наверное, потому, что такие вещи лучше делать на 3-ем уровне, чем на 7-ом ;)

И правда.
Из первого поста видно, что с 80 портом есть 180 одновременных коннектов (причем не факт, что все они входящие).
Но совершенно не видно, что там наберется хотя бы пять коннектов на порт 80 с одного айпишника.

Конечно всё зависит от ситуации, но имхо должны быть очень серьезные причины чтобы так делать. Но в любом случае лучше наоборот, это очевидно.

И еще по поводу «7» уровня я бы поспорил - недавно столкнулся в вебе с интерестной интерпретацией модели iso/osi - там на 7м уровне различают тип информации как его понимает пользователь, то бишь - текст это, или веб-страничка, или это звук, или видео. В этой статье реализация iso/osi модели в tcp/ip приведена к 7 уровням, при чем очень красиво и логично. К сожалению я потерял линк на эту статью и не могу ее найти.

гм. хотя да, всё равно 7й уровень.

соеднинения все входящие, причём все с одного ip адреса.

>Конечно всё зависит от ситуации, но имхо должны быть очень серьезные причины чтобы так делать. Но в любом случае лучше наоборот, это очевидно.
Ситуация, когда так надо будет делать - если к одному вирт.хосту разрешено максимум 5 одновременных подключений, а к другому 10. Во всех остальных случаях iptables

На тестовом сервере

[root@lenin ~]# iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 1 -j REJECT

[user@fel-2 ~]$ telnet lenin 80
Trying 10.134.0.126...
Connected to lenin (10.134.0.126).
Escape character is '^]'.

[user@fel-2 ~]$ telnet lenin 80
Trying 10.134.0.126...
telnet: connect to address 10.134.0.126: Connection refused
telnet: Unable to connect to remote host: Connection refused

После чего на сервере

[root@lenin ~]# iptables -vnL
Chain INPUT (policy ACCEPT 1711 packets, 151K bytes)
 pkts bytes target     prot opt in     out     source               destination
    1    60 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 #conn/32 > 1 reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 1278 packets, 158K bytes)
 pkts bytes target     prot opt in     out     source               destination
[root@lenin ~]# uname -a
Linux lenin 2.6.26-2-686 #1 SMP Fri Aug 14 01:27:18 UTC 2009 i686 GNU/Linux
[root@lenin ~]# dpkg -l iptables
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Cfg-files/Unpacked/Failed-cfg/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Hold/Reinst-required/X=both-problems (Status,Err: uppercase=bad)
||/ Name                          Version                       Description
+++-=============================-=============================-==========================================================================
ii  iptables                      1.4.4-2                       administration tools for packet filtering and NAT

В общем, со штатным ядром из stable работает.

>>Linux lenin 2.6.26-2-686
>>В общем, со штатным ядром из stable работает.

спасибо!