Расширение функционала ip conntrack lockout threshold public

[Denis P]

в данный момент ограничение касается только % от таблицы,

было бы намного удобнее иметь возможность указывать и конкретное число возможных подключений со стороны public интерфейсов для одного адреса и/или подсети
upd в принципе можно и не только для внешних, для внутренних тоже - например чтобы клиента с включенным dht и торрентами жестко ограничить т.е что-то типа ip conntrack max-entries private host

Изменено 29 апреля, 2025 пользователем Denis P

[FLK]

Если это то о чем я думаю - вещь нужная))))

[Le ecureuil]

Ну так это вы в opkg и сейчас можете намутить без ограничений.

 

[Denis P]

2 часа назад, Le ecureuil сказал:

Ну так это вы в opkg и сейчас можете намутить без ограничений.

 

я понимаю что conntrack не умеет  ограничения per network
подумалось что удобно было это иметь сразу из коробки, но намек понятен, продолжу крутить iptables через opkg)

Изменено 30 апреля, 2025 пользователем Denis P

[Le ecureuil]

В 30.04.2025 в 21:15, Denis P сказал:

я понимаю что conntrack не умеет  ограничения per network
подумалось что удобно было это иметь сразу из коробки, но намек понятен, продолжу крутить iptables через opkg)

В raw-таблице через -j CT --notrack - это как раз и значит "умеет".

[Denis P]

В 02.05.2025 в 12:13, Le ecureuil сказал:

В raw-таблице через -j CT --notrack - это как раз и значит "умеет".

а как насчет ограничения количества трансляций nat? реально?

у микротов есть connection limit в nat 

у cisco есть ip nat translation max-entries all-host

у huawei nat session limit limit-number

чем мы хуже?)

раз уж есть какой-то прицел на более серьезный сегмент, то такие фичи это прям мастхев для больших или публичных сетей

Изменено 24 августа, 2025 пользователем Denis P

[Le ecureuil]

9 часов назад, Denis P сказал:

а как насчет ограничения количества трансляций nat? реально?

у микротов есть connection limit в nat 

у cisco есть ip nat translation max-entries all-host

у huawei nat session limit limit-number

чем мы хуже?)

раз уж есть какой-то прицел на более серьезный сегмент, то такие фичи это прям мастхев для больших или публичных сетей

Так уже сто лет как есть в виде команды

> ip conntrack max-entries 32768

[Denis P]

40 минут назад, Le ecureuil сказал:

Так уже сто лет как есть в виде команды

> ip conntrack max-entries 32768

Это глобально, а речь то про per host

О чем собственно и вся тема

[mesb]

Плюсую к предыдущему оратору.

Хотелось бы лимитов на хосты в локалке чтобы не выжрало глобальный.

Хотелось бы ограничения, недавно в офисе словили на одной из машин нечто что начало открывать тысячи соединений вовне и гнать трафик. Что начало создавать траблы остальным.

Изменено 25 августа, 2025 пользователем mesb

[mesb]

П.с. да и помимо хостов в локалке если можно на хосты.

Мы как-то угодили под флуд подсети оператора в которой на веб кина открывался вагон соединений что ему не очень нравилось.

[mesb]

Вообще почему актуально то, у нас по офисам малым раскиданы 4ж модели в которых особо с ентваре то не разгуляешься. А при таких траблах им довольно тяжко в завимости от профиля нагрузки с этим наплывом соединений.

[mesb]

@eralde @admin взываю всёже дать нам крутилку в кли тем кто без ентваре в роутерах.

[mesb]

В общем к общей крутилке нужны per host и per net ну и по сегменту можно.

[mesb]

@hlnw и вот его ещё призову.

[hlnw]

В 07.10.2025 в 16:31, mesb сказал:

Вообще почему актуально то, у нас по офисам малым раскиданы 4ж модели в которых особо с ентваре то не разгуляешься. А при таких траблах им довольно тяжко в завимости от профиля нагрузки с этим наплывом соединений.

Вот на это и нужно делать акцент при описании задачи. Что роутеры работают в Soho сегменте.

С описанием кейса просьба обратиться к поддержку, можно оставить ссылку на эту тему.

[mesb]

24 минуты назад, hlnw сказал:

Вот на это и нужно делать акцент при описании задачи. Что роутеры работают в Soho сегменте.

С описанием кейса просьба обратиться к поддержку, можно оставить ссылку на эту тему.

Я полагал что это очевидно, кому ещё такие нюансы могут потребоваться то )

Кейс уже был ранее создан, я также приводил описания кейсов где мы на это налетели, номер 273300705

 

 

[Andy80]

Моя позиция такая. Кол-во подключений ресурс исчерпываемый. И чем больше возможности для его регулирования, тем лучше.
Не первый раз мой контроллер полностью зависал со 100% нагрузки до полной перезагрузки. А это офис, это больно. Отслеживать причины атаки, читать логи не умею. Просто навел порядок в сети, поменял гостевые пароли. Регулярно слежу за нагрузкой и всегда на измене в ожидании новой атаки. Поддерживаю ограничение кол-ва подключений на клиента.