注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

简洁即美

最简洁的手法保存记忆

 
 
 

日志

 
 

【转载】iptables中用hashlimit来限速  

2016-10-28 20:05:23|  分类: Linux |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
出处:http://cache.baiducontent.com/c?m=9d78d513d99912ee02fa950e534d883d5f40c72362d88a5339968449e079461f1c3aa4f130226755899e20345ae9170fbae73605665e7faac89ed71181e0d36e78c83a3e721b8d4718c419d891007a9f&p=836dc64ad6c618ec08e2977e06448a34&newp=cb67e72985cc41aa0ebd9b7d0d1d967c5c5bc4387ebad5177e82&user=baidu&fm=sc&query=hashlimit&qid=&p1=1

hashlimit是iptables的一个匹配模块,用它结合iptables的其它命令可以实现限速的功能(注意,单独hashlimit模块是无法限速的)。

  不过首先必须明确,hashlimit本身只是一个“匹配”模块。我们知道,iptables的基本原理是“匹配--处 理”,hashlimit在这个工作过程中只能起到匹配的作用,它本身是无法对网络数据包进行任何处理的。我看到网上有些hashlimit的例子里面说 只 用一条包含hashlimit匹配规则的iptables语句就可以实现限速,那是错误的。

  实际上,利用hashlimit来限速需要包括两个步骤:

  1.对符合hashlimit匹配规则包放行

  2.丢弃/拒绝未放行的包

  下面是一个简单的例子:

  iptables -A INPUT -p tcp --dport 22 -m hashlimit --hashlimit-name ssh --hashlimit 5/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-htable-expire 90000 -j ACCEPT

  iptables -A INPUT -p tcp --dport 22 -j DROP

  然后,我们来着重讲讲hashlimit模块具体是如何工作的。

  hashlimit的匹配是基于令牌桶 (Token bucket)模型的。令牌桶是一种网络通讯中常见的缓冲区工作原理,它有两个重要的参数,令牌桶容量n和令牌产生速率s。我们可以把令牌当成是门票,而 令牌桶则是负责制作和发放门票的管理员,它手里最多有n张令牌。一开始,管理员开始手里有n张令牌。每当一个数据包到达后,管理员就看看手里是否还有可用 的令牌。如果有,就把令牌发给这个数据包,hashlimit就告诉iptables,这个数据包被匹配了。而当管理员把手上所有的令牌都发完了,再来的 数据包就拿不到令牌了。这时,hashlimit模块就告诉iptables,这个数据包不能被匹配。除了发放令牌之外,只要令牌桶中的令牌数量少于n, 它就会以速率s来产生新的令牌,直到令牌数量到达n为止。通过令牌桶机制,即可以有效的控制单位时间内通过(匹配)的数据包数量,又可以容许短时间内突发 的大量数据包的通过(只要数据包数量不超过令牌桶n)。

  hashlimit模块提供了两个参数--hashlimit和--hashlimit-burst,分别对应于令牌产生速率和令牌桶容量。除 了令牌桶模型外,hashlimit匹配的另外一个重要概念是匹配项。在hashlimit中,每个匹配项拥有一个单独的令牌桶,执行独立的匹配计算。通 过hashlimit的--hashlimit-mode参数,你可以指定四种匹配项及其组合,即:srcip(每个源地址IP为一个匹配 项),dstip(每个目的地址IP为一个匹配项),srcport(每个源端口为一个匹配项),dstport(每个目的端口为一个匹配项)

  除了前面介绍的三个参数外,hashlimit还有一个必须要用的参数,即--hashlimit-name。 hashlimit会在/proc/net/ipt_hashlimit目录中,为每个调用了hashlimit模块的iptables 命令建立一个文件,其中保存着各匹配项的信息。--hashlimit-name参数即用来指定该文件的文件名。

  好了,以上我们已经介绍了hashlimit的工作原理和相应的参数,下面我们来看几个例子。

  首先是前面的那个例子:

  iptables -A INPUT -p tcp --dport 22 -m hashlimit --hashlimit-name ssh --hashlimit 5/sec --hashlimit-burst 10 --hashlimit-mode srcip -j ACCEPT

  iptables -A INPUT -p tcp --dport 22 -j DROP

  在了解了hashlimit各参数的含义之后,我们现在就可以知道这两条iptables命令的作用。

  第一条的作用是,为所有访问本机22端口的不同IP建立一个匹配项,匹配项对应的令牌桶容量为10,令牌产生速率为5个每秒。放行通过匹配的数据包。

  第二条的作用是,丢弃所有其它访问本机22端口的数据包。

  通过这两条命令,我们就实现了限制其它机器对本机22端口(ssh服务)频繁访问的功能.

  再来我们看一个复杂点的限速。假设我们现在在一台NAT网关上,想限制内部网某个网段 192.168.1.2/24对外的访问频率。(这个的主要作用是限制内部中毒主机对外的flood攻击)

  那我们可以这么做:

  iptables -N DEFLOOD

  iptables -A FORWARD -s 192.168.1.2/24 -m state --state NEW -j DEFLOOD

  iptables -A DEFLOOD -m hashlimit --hashlimit-name deflood --hashlimit 10/sec --hashlimit-burst 10 --hashlimit-mode srcip -j ACCEPT

  iptables -P DEFLOOD -j DROP

  第一条命令建立了一个自定义的处理链

  第二条命令,所有来自192.168.1.2/24网段,并且打算新建网络连接的数据包,都进入DEFLOOD链处理

  第三条命令,在DEFLOOD链中,为每个IP建立一个匹配项,对应令牌桶容量为10,产生速率为10个每秒。放行通过匹配的数据包。

  第四条命令,在DEFLOOD链中丢弃所有其它的数据包

  当然,hashlimit还有一些其他的参数,比如

  --hashlimit-htable-expire

  --hashlimit-htable-size

  --hashlimit-htable-max

  具体可以man iptables

  以上我们介绍了hashlimit模块的原理和使用。希望能对大家有所帮助:)

  原文地址:http://lvsheat.blog.51cto.com/431185/142567

  评论这张
 
阅读(37)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017