Вопрос по лимиту соединений.

Ты можешь указать правило, чтобы соответствовать любым критериям, заданным в доступных полях. Просто укажи сеть, на которой нужно ограничить соединения, или хост, установи максимальное количество соединений и выбери действие (drop/accept/…). Просто определи правило, чтобы соответствовать трафику, который ты хочешь ограничить…

/32 теперь будет означать полный 32-битный IP-адрес (например, 10.200.4.14/32). Значит, например, /ip firewall rule forward add src-address=10.10.10.5/32 limit-count=2 будет ограничивать все пакеты с 10.10.10.5 до 2 соединений. Чтобы задать полный /24-сеть, это будет выглядеть примерно так… /ip firewall rule forward add src-address=10.10.10.0/24 limit-count=10. Это ограничит всю сеть 10.10.10.0/24 до 10 соединений… а если перевернуть ситуацию и указать dst-address, то это позволит только “x” соединений к конкретному хосту/сети.

0.0.0.0/0 используется для маршрутов по умолчанию и wildcard (чтобы означать весь трафик). Если бы ты указал /32, это соответствовало бы только пакетам с источником/назначением 0.0.0.0. Раз это не валидный IP-адрес, не думаю, что это будет соответствовать какому-либо трафику вообще?

Я не понимаю, что заставляет тебя так думать? Адрес источника 0.0.0.0/32 предназначен для соединений, которые роутер устанавливает сам, и для которых еще не определен адрес источника. У меня нет ни малейшего представления, какая польза может быть от назначения 0.0.0.0/32 в качестве адреса назначения. Просветите нас…

Добавляем правило: proto=tcp tcp-options=syn connection-limit=5 action=drop. Каждому компьютеру разрешено не более 4 TCP-соединений через роутер.

Wildbill показал, как ограничить подключения от одного клиента: `/ip firewall rule forward add src-address=10.10.10.5/32 limit-count=2`. Можно использовать этот фрагмент для конкретного сервера вне вашей сети, IP-адрес которого вам известен: `/ip firewall rule forward add dst-address=165.165.165.165/32 limit-count=20`, чтобы все ваши клиенты были ограничены до 20 подключений к этому серверу.

Это, я думаю, вам известно, и это не вопрос. Вы пытаетесь ограничить каждого клиента определенным количеством исходящих подключений? Или вы хотите ограничить всю вашу сеть до определенного количества подключений к любому возможному IP-адресу в мире?

Я знаю, как ограничить максимальное количество исходящих соединений, и это работает. Но мне нужно ограничить количество соединений на каждый сервер в интернете, не ограничивая общее количество соединений. Я знаю, что если бы я знал IP-адрес сервера, я бы мог это сделать, но мне нужно правило, которое будет применяться к любому веб-серверному адресу, чтобы пользователь мог открыть, скажем, только одно соединение на каждый веб-сервер, но при этом мог подключаться к нескольким серверам одновременно. Объяснение необходимости этого описано выше.

Я тоже так делаю. Ты поймёшь, только если я скажу, что нам нужно использовать спутниковый канал со скоростью 2 Мбит/с на загрузку и 512 Кбит/с на отдачу. Спутниковая линия хорошая по пропускной способности, и мы практически всегда получаем 2 Мбит/с, но спутниковая связь ограничена до 100 TCP-соединений. У меня есть PCq, общий лимит канала – 2 Мбит/с/512 Кбит/с, а для каждого пользователя ограничено до 1 Мбит/с/256 Кбит/с. Проблема в ограничении на количество соединений на линии. У меня примерно 100 компьютеров в этой сети, и когда пользователь заходит в p2p, лимит соединений всегда достигается. Я ограничил количество соединений на портах ниже 80 до 10, порт 80 до 60, а выше порта 80 до 5 соединений, чтобы спутниковая линия не перегружалась. Это работает довольно неплохо, но мне бы действительно хотелось ограничить количество соединений на порту 80 ещё меньше, но это вызовет проблемы с просмотром сайтов с большим количеством рекламы, потому что каждый веб-сервер может открывать несколько соединений, и прежде чем ты успеешь оглянуться, ты уже получаешь таймауты. Нужно найти способ ограничивать максимальное количество соединений к каждому веб-серверу без ввода всех IP-адресов. Компромисс – сохранять довольных клиентов. Видишь, если моя фильтрация будет слишком агрессивной, мне придётся разбираться с жалобами, но если делать так, они просто не замечают, что их приложения не выходят из-под контроля, и может быть, немного страдают от производительности, но кто заботится о p2p и агрессивном трафике? Это просто, к сожалению, основное преимущество широкополосного подключения, поэтому блокировать это — плохо.

Возможно, тебе стоит создать conn-limit для peer2peer приложений, конкретно, и ограничить его до 5-10... потому что эти приложения будут создавать много подключений. Я знаю, что ты говоришь, но если это влияет на общую производительность сети и других пользователей, я бы просто заблокировал их, пока не получишь нормальную магистраль.