可直接用iptables connlimit模块实现连接数限制，无需额外软件，规则实时生效，适用于防CC、慢速攻击等连接耗尽类场景。

可以直接用 iptables 的 connlimit 模块实现，无需额外软件或应用层干预，规则生效快、拦截实时，特别适合防连接耗尽类攻击（如 CC、慢速攻击）。

基础命令结构与关键参数

限制某 IP 对 80 端口的并发连接数，通用写法为：

iptables -I INPUT -p tcp --dport 80 -s [IP地址] -m connlimit --connlimit-above [上限值] -j REJECT

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• -I INPUT：插入到 INPUT 链最前面，确保优先匹配
• -s [IP地址]：指定要限制的源 IP；若省略此项，则限制所有 IP（全局限流）
• --connlimit-above N：当该 IP 当前已建立的连接数 > N 时触发规则
• -j REJECT：拒绝新连接请求（返回 TCP RST），比 DROP 更利于客户端快速感知失败

按场景选择具体配置方式

根据实际防护目标，可灵活组合使用：

• 只限制特定 IP（如已知恶意扫描源）：
  iptables -I INPUT -p tcp --dport 80 -s 192.168.31.207 -m connlimit --connlimit-above 10 -j REJECT
• 限制所有访问 80 端口的 IP（全局防爆连）：
  iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT
• 配合子网掩码控制范围（例如限制整个 /24 网段）：
  iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 24 -j DROP
  （--connlimit-mask 24 表示对 192.168.31.0/24 内所有 IP 合计限制 20 连接）

验证与管理规则

添加后建议立即检查是否生效，并保留可维护性：

• 查看带行号的 INPUT 规则：
  iptables -L INPUT -n --line-numbers
• 删除某条规则（例如第 3 条）：
  iptables -D INPUT 3
• 清空所有 INPUT 规则（慎用）：
  iptables -F INPUT
• 保存规则（CentOS/RHEL）：
  service iptables save 或 iptables-save > /etc/sysconfig/iptables

注意事项与常见误区

避免因配置不当导致误伤或失效：

• connlimit 统计的是 已建立的 ESTABLISHED 连接，不是 SYN 请求，所以不防纯 SYN Flood；需搭配 --syn + recent 或内核参数（如 tcp_syncookies）协同防御
• 规则顺序很重要：必须放在允许 SSH、放行白名单等规则之后，否则可能把管理连接也拦掉
• 如果 Web 服务用了反向代理（如 Nginx），真实客户端 IP 可能是代理地址，此时应限制代理 IP 或开启 realip 模块并结合 X-Forwarded-For 处理
• REJECT 和 DROP 效果不同：REJECT 主动发 RST，客户端立刻报错；DROP 是静默丢包，可能引发重试风暴，一般推荐 REJECT