http://mikrotik.moscow Новое в теме Вопрос по лимиту соединений. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 08:28:41 -0400 Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Хмм, какое действие мне нужно установить, чтобы ограничить подключения? Принимать, отклонять? src-address=192.168.1.0/24 flow=p2p-src-local limit-count=500 action=accept??
01.04.2005 10:43:00, Art.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222463 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222463 Fri, 01 Apr 2005 10:43:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Спасибо. До новых типов соединений в нашем районе осталось недолго.
25.03.2005 18:00:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222462 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222462 Fri, 25 Mar 2005 18:00:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Возможно, тебе стоит создать conn-limit для peer2peer приложений, конкретно, и ограничить его до 5-10... потому что эти приложения будут создавать много подключений. Я знаю, что ты говоришь, но если это влияет на общую производительность сети и других пользователей, я бы просто заблокировал их, пока не получишь нормальную магистраль.
24.03.2005 16:24:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222461 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222461 Thu, 24 Mar 2005 16:24:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Нужно придумать способ ограничить максимальное количество соединений к каждому веб-серверу без необходимости указывать все IP-адреса. Есть как раз такое решение: создайте правило с dst и src 0.0.0.0/0 и установите ограничение на количество соединений менее 100 (или любое другое значение). Это ограничит все соединения до 100 или меньше. Я использую подобное правило для блокировки SYN-flood атак в моей сети. Это ограничит все соединения, входящие/исходящие и для любого протокола.

::EDIT:: Можно даже сделать более конкретно и создать правила для входящего и исходящего трафика. Ограничьте входящие соединения до какого-то небольшого числа и разрешите больше исходящих соединений. Просто укажите всю свою сеть в полях src/dst.
24.03.2005 16:22:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222460 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222460 Thu, 24 Mar 2005 16:22:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Я тоже так делаю. Ты поймёшь, только если я скажу, что нам нужно использовать спутниковый канал со скоростью 2 Мбит/с на загрузку и 512 Кбит/с на отдачу. Спутниковая линия хорошая по пропускной способности, и мы практически всегда получаем 2 Мбит/с, но спутниковая связь ограничена до 100 TCP-соединений. У меня есть PCq, общий лимит канала – 2 Мбит/с/512 Кбит/с, а для каждого пользователя ограничено до 1 Мбит/с/256 Кбит/с. Проблема в ограничении на количество соединений на линии. У меня примерно 100 компьютеров в этой сети, и когда пользователь заходит в p2p, лимит соединений всегда достигается. Я ограничил количество соединений на портах ниже 80 до 10, порт 80 до 60, а выше порта 80 до 5 соединений, чтобы спутниковая линия не перегружалась. Это работает довольно неплохо, но мне бы действительно хотелось ограничить количество соединений на порту 80 ещё меньше, но это вызовет проблемы с просмотром сайтов с большим количеством рекламы, потому что каждый веб-сервер может открывать несколько соединений, и прежде чем ты успеешь оглянуться, ты уже получаешь таймауты. Нужно найти способ ограничивать максимальное количество соединений к каждому веб-серверу без ввода всех IP-адресов. Компромисс – сохранять довольных клиентов. Видишь, если моя фильтрация будет слишком агрессивной, мне придётся разбираться с жалобами, но если делать так, они просто не замечают, что их приложения не выходят из-под контроля, и может быть, немного страдают от производительности, но кто заботится о p2p и агрессивном трафике? Это просто, к сожалению, основное преимущество широкополосного подключения, поэтому блокировать это — плохо.
24.03.2005 16:09:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222459 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222459 Thu, 24 Mar 2005 16:09:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Почему бы не использовать агрессивное файрволлинг и формирование трафика, если твоя магистраль перегружена?
24.03.2005 15:51:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222458 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222458 Thu, 24 Mar 2005 15:51:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Я знаю, как ограничить максимальное количество исходящих соединений, и это работает. Но мне нужно ограничить количество соединений на каждый сервер в интернете, не ограничивая общее количество соединений. Я знаю, что если бы я знал IP-адрес сервера, я бы мог это сделать, но мне нужно правило, которое будет применяться к любому веб-серверному адресу, чтобы пользователь мог открыть, скажем, только одно соединение на каждый веб-сервер, но при этом мог подключаться к нескольким серверам одновременно. Объяснение необходимости этого описано выше.
24.03.2005 12:57:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222457 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222457 Thu, 24 Mar 2005 12:57:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
В версии 2.9 connection-limit ограничивает количество подключений для каждого адресного блока.
24.03.2005 09:44:00, Eugene.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222456 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222456 Thu, 24 Mar 2005 09:44:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Wildbill показал, как ограничить подключения от одного клиента: `/ip firewall rule forward add src-address=10.10.10.5/32 limit-count=2`. Можно использовать этот фрагмент для конкретного сервера вне вашей сети, IP-адрес которого вам известен: `/ip firewall rule forward add dst-address=165.165.165.165/32 limit-count=20`, чтобы все ваши клиенты были ограничены до 20 подключений к этому серверу.

Это, я думаю, вам известно, и это не вопрос. Вы пытаетесь ограничить каждого клиента определенным количеством исходящих подключений? Или вы хотите ограничить всю вашу сеть до определенного количества подключений к любому возможному IP-адресу в мире?
24.03.2005 08:45:00, yogi.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222455 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222455 Thu, 24 Mar 2005 08:45:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Код: add proto=tcp tcp-options=syn connection-limit=5 action=drop Каждому компьютеру разрешено не более 4 TCP-соединений через роутер. Я знаю, но мне нужно ограничить соединения по интернет-IP-адресу, а не сделать общий лимит для всех, потому что в противном случае возникнут проблемы с просмотром страниц, и придется разрешать, скажем, 70 соединений, что сведет на нет всю цель задачи.
22.03.2005 17:30:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222454 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222454 Tue, 22 Mar 2005 17:30:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Добавляем правило: proto=tcp tcp-options=syn connection-limit=5 action=drop. Каждому компьютеру разрешено не более 4 TCP-соединений через роутер.
22.03.2005 15:57:00, Eugene.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222453 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222453 Tue, 22 Mar 2005 15:57:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Ну не знаю я точно, сработает или нет, но мне это кажется логичным! Теоретически это должно относиться ко всем индивидуальным соединениям, но устанавливать лимит на каждый IP-адрес сервера, а не на все IP-адреса в целом. Как видно выше, правило 0.0.0.0/24 применяется к лимиту соединений на LAN IP, что составляет максимальное количество соединений в интернет - x. Я знаю, что это работает нормально. Но есть проблема с IE, потому что некоторые веб-страницы с кучей рекламы создают множество соединений, и ограничение ниже, скажем, 50, вызывает проблемы с просмотром. Чтобы решить эту проблему, я задумался об ограничении соединений по IP-адресу сервера, а не об общем connlimit, но никто толком не мог помочь, так что это была моя лучшая теория. Я подумал, что 0.0.0.0 будет применяться ко всем соединениям, а подсеть 32 будет указывать на каждый удаленный IP-адрес, а не на все! В общем, идея была получить обратную связь и, может быть, правильный синтаксис для реализации того, что я хочу сделать? Может быть, никто не занимается таким. Мне просто нужно, чтобы спутниковое соединение было надежным, и не так уж много людей используют спутниковый широкополосный доступ с его ограничениями.
22.03.2005 11:02:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222452 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222452 Tue, 22 Mar 2005 11:02:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Я не понимаю, что заставляет тебя так думать? Адрес источника 0.0.0.0/32 предназначен для соединений, которые роутер устанавливает сам, и для которых еще не определен адрес источника. У меня нет ни малейшего представления, какая польза может быть от назначения 0.0.0.0/32 в качестве адреса назначения. Просветите нас…
21.03.2005 11:08:00, lastguru.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222451 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222451 Mon, 21 Mar 2005 11:08:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Я успешно использовал синтаксис: 0.0.0.0/24 dst address, чтобы ограничить подключения ко всем хостам по x на локальный IP. Так что логично предположить, что: 0.0.0.0/32 dst address ограничит подключения к каждому хосту по x на локальный IP. Придется попробовать и сообщу результаты. Еще, кто-нибудь знает, дойдет ли патч UDP connlimit для Netfilter к MT?
19.03.2005 13:07:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222450 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222450 Sat, 19 Mar 2005 13:07:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
0.0.0.0/0 используется для маршрутов по умолчанию и wildcard (чтобы означать весь трафик). Если бы ты указал /32, это соответствовало бы только пакетам с источником/назначением 0.0.0.0. Раз это не валидный IP-адрес, не думаю, что это будет соответствовать какому-либо трафику вообще?
18.03.2005 18:35:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222449 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222449 Fri, 18 Mar 2005 18:35:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
А можно ли использовать такую синтаксис: 0.0.0.0/32, чтобы установить ограничение подключения к любому отдельному dst-адресу в интернете? Спасибо.
17.03.2005 19:05:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222448 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222448 Thu, 17 Mar 2005 19:05:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
/32 теперь будет означать полный 32-битный IP-адрес (например, 10.200.4.14/32). Значит, например, /ip firewall rule forward add src-address=10.10.10.5/32 limit-count=2 будет ограничивать все пакеты с 10.10.10.5 до 2 соединений. Чтобы задать полный /24-сеть, это будет выглядеть примерно так… /ip firewall rule forward add src-address=10.10.10.0/24 limit-count=10. Это ограничит всю сеть 10.10.10.0/24 до 10 соединений… а если перевернуть ситуацию и указать dst-address, то это позволит только “x” соединений к конкретному хосту/сети.
17.03.2005 15:41:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222447 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222447 Thu, 17 Mar 2005 15:41:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Сработает ли, если я укажу 0.0.0.0/32 в качестве адреса источника и ограничу до 2 соединений? Это ограничит каждого клиента до 2 соединений с каждым сервером в интернете? И если я добавлю ещё одно правило: 0.0.0.0/24 в качестве адреса назначения и ограничу до, скажем, 10, то это даст каждому клиенту по 2 соединения с каждым веб-сервером и максимум 10 всего, учитывая адресацию подсети для одного компьютера, а следующее правило для всей подсети? Спасибо за ответ, и ещё спасибо за предыдущий!
17.03.2005 12:13:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222446 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222446 Thu, 17 Mar 2005 12:13:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Ты можешь указать правило, чтобы соответствовать любым критериям, заданным в доступных полях. Просто укажи сеть, на которой нужно ограничить соединения, или хост, установи максимальное количество соединений и выбери действие (drop/accept/…). Просто определи правило, чтобы соответствовать трафику, который ты хочешь ограничить…
17.03.2005 07:18:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222445 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222445 Thu, 17 Mar 2005 07:18:00 -0500 RouterOS Вопрос по лимиту соединений. RouterOS в форуме RouterOS.
Привет! Я прорылся по форуму и документации, но так и не нашёл ответа на это: функция connection-limit ограничивает каждый локальный IP до указанного лимита TCP-соединений, я знаю. Но возможно ли сделать так, чтобы соединения ограничивались определённым количеством на сервер в интернете и общим лимитом на локальный IP тоже? И может кто-нибудь из Mikrotik скажет, появится ли в MikroTik Udp connlimit, который сейчас патч для netfilter/iptables? Я сейчас на 2.8.
17.03.2005 00:02:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222444 http://mikrotik.moscow/forum/forum57/58700-vopros-po-limitu-soedineniy./message222444 Thu, 17 Mar 2005 00:02:00 -0500 RouterOS