iptables -m limit для одного IP

возможно мудуль connlimit то, что вам нужно

Спасибо, это то что нужно. Только мне на VPS, похоже, нельзя загружать дополнительные модули ядра.

А можно ли подобное сделать, если /proc/net/ip_tables_matches содержит только:

length
ttl
tcpmss
tos
multiport
multiport
udp
tcp
owner
limit
icmp

А в чем проблема? Создаете отдельную цепочку с нужнным ограничением, а туда пробрасываете из основной цепочки INPUT только нужный ip.

Я думал об этом, только не знаю iptables достаточно хорошо, чтоб динамически добавлять в цепочку каждый подключившийся IP.

Нашел еще hashlimit, он вроде в стандартный дистрибутив включен, так что провайдеру должно быть достаточно просто добавить его в VPS ...

В любом случае был бы благодарен за пример динамического добавления IP адресов в iptables :)

Я неправильно понял вас, мой вариант отпадает.

Может recent:
-m recent --update --seconds 60 --hitcount 3 --name ssh -j DROP
-p tcp --dport 22 -m state --state NEW -m recent --set --name ssh -j ACCEPT

iptables -A FORWARD -p tcp --syn --dport 55555 -m connlimit ! --connlimit-above 5 -j ACCEPT
Но это вообще каждому не более 5 коннектов