URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID10
Нить номер: 4465
[ Назад ]
Исходное сообщение
"Опять про Debian iptables xtables и  connlimit"
Отправлено Cabol , 22-Дек-09 10:26 
Уже присую блин :(
ОС Debian testing (обновляю постоянно)

Ситуация:
Есть сервер подключен к локальной сети. К нему цепляются через eth0 по впну пользователи. Получают ипы 192.168.0.0/24. На сервере установлена двб карточка и подключен спутниковый инет. В общем все работает. Я хочу ограничить количество сессий каждому впн пользователю. В ядру поддержка есть все либы на месте!
В конфиге iptables:
# Generated by iptables-save v1.4.5 on Tue Dec 22 14:18:49 2009
*mangle
:PREROUTING ACCEPT [18158:7002176]
:INPUT ACCEPT [10311:1063253]
:FORWARD ACCEPT [7847:5938923]
:OUTPUT ACCEPT [13070:7337715]
:POSTROUTING ACCEPT [20917:13276638]
COMMIT
# Completed on Tue Dec 22 14:18:49 2009
# Generated by iptables-save v1.4.5 on Tue Dec 22 14:18:49 2009
*filter
:INPUT ACCEPT [10312:1063293]
:FORWARD ACCEPT [7847:5938923]
:OUTPUT ACCEPT [13076:7338987]
-A FORWARD -i eth0 -m state --state INVALID,NEW -j DROP
COMMIT
# Completed on Tue Dec 22 14:18:49 2009
# Generated by iptables-save v1.4.5 on Tue Dec 22 14:18:49 2009
*nat
:PREROUTING ACCEPT [244:20505]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o tap0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Dec 22 14:18:49 2009


Пробовал добавлять правила:
-A FORWARD –s 192.168.0.0/24 -p tcp --syn -m connlimit --connlimit-above 5 --connlimit-mask 32 -j DROP

-A FORWARD –s 192.168.0.0/24 -p tcp --syn -m connlimit --connlimit-above 5 --connlimit-mask 24 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 24 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

И с PREROUTING пробовал , нефига не ограничивает – сессий один фиг больше 5 по протоколу TCP создается…. Я не знаю что уже думать…

Что я не так делаю?

Содержание
Сообщения в этом обсуждении
"Опять про Debian iptables xtables и  connlimit"
Отправлено Cabol , 22-Дек-09 10:33 
Черт :( Еще еще и опечаток понаделал :(( И поправить не могу :((
"Опять про Debian iptables xtables и  connlimit"
Отправлено Cabol , 30-Апр-10 13:22 
Ну я разобрался, оказалось что я делаю все верно вот только в ядре было дело.. :(