Расширение функционала ip conntrack lockout threshold public

[Denis P]

в данный момент ограничение касается только % от таблицы,

было бы намного удобнее иметь возможность указывать и конкретное число возможных подключений со стороны public интерфейсов для одного адреса и/или подсети
upd в принципе можно и не только для внешних, для внутренних тоже - например чтобы клиента с включенным dht и торрентами жестко ограничить т.е что-то типа ip conntrack max-entries private host

Изменено 29 апреля пользователем Denis P

[FLK]

Если это то о чем я думаю - вещь нужная))))

[Le ecureuil]

Ну так это вы в opkg и сейчас можете намутить без ограничений.

 

[Denis P]

2 часа назад, Le ecureuil сказал:

Ну так это вы в opkg и сейчас можете намутить без ограничений.

 

я понимаю что conntrack не умеет  ограничения per network
подумалось что удобно было это иметь сразу из коробки, но намек понятен, продолжу крутить iptables через opkg)

Изменено 30 апреля пользователем Denis P

[Le ecureuil]

В 30.04.2025 в 21:15, Denis P сказал:

я понимаю что conntrack не умеет  ограничения per network
подумалось что удобно было это иметь сразу из коробки, но намек понятен, продолжу крутить iptables через opkg)

В raw-таблице через -j CT --notrack - это как раз и значит "умеет".

[Denis P]

В 02.05.2025 в 12:13, Le ecureuil сказал:

В raw-таблице через -j CT --notrack - это как раз и значит "умеет".

а как насчет ограничения количества трансляций nat? реально?

у микротов есть connection limit в nat 

у cisco есть ip nat translation max-entries all-host

у huawei nat session limit limit-number

чем мы хуже?)

раз уж есть какой-то прицел на более серьезный сегмент, то такие фичи это прям мастхев для больших или публичных сетей

Изменено 24 августа пользователем Denis P

[Le ecureuil]

9 часов назад, Denis P сказал:

а как насчет ограничения количества трансляций nat? реально?

у микротов есть connection limit в nat 

у cisco есть ip nat translation max-entries all-host

у huawei nat session limit limit-number

чем мы хуже?)

раз уж есть какой-то прицел на более серьезный сегмент, то такие фичи это прям мастхев для больших или публичных сетей

Так уже сто лет как есть в виде команды

> ip conntrack max-entries 32768

[Denis P]

40 минут назад, Le ecureuil сказал:

Так уже сто лет как есть в виде команды

> ip conntrack max-entries 32768

Это глобально, а речь то про per host

О чем собственно и вся тема

[mesb]

Плюсую к предыдущему оратору.

Хотелось бы лимитов на хосты в локалке чтобы не выжрало глобальный.

Хотелось бы ограничения, недавно в офисе словили на одной из машин нечто что начало открывать тысячи соединений вовне и гнать трафик. Что начало создавать траблы остальным.

Изменено 25 августа пользователем mesb

[mesb]

П.с. да и помимо хостов в локалке если можно на хосты.

Мы как-то угодили под флуд подсети оператора в которой на веб кина открывался вагон соединений что ему не очень нравилось.