每个目标 IP 和端口的 IPTables 速率限制

Question

我目前有这些规则:

iptables -I FORWARD -p udp -d {IPDST} --dport {PORTDST} -m u32 --u32 '0>>22&0x3C@8=0xFFFFFFFF' -j SRCDS-TRF
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} -m u32 --u32 '0>>22&0x3C@10&0xFFFF=0x5453' -m limit --limit 45/second --limit-burst 150 -j ACCEPT
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} -m u32 --u32 '0>>22&0x3C@9&0xFF=0x55' -m limit --limit 3/second --limit-burst 20 -j ACCEPT
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} -m u32 --u32 '0>>22&0x3C@9&0xFF=0x56' -m limit --limit 3/second --limit-burst 15 -j ACCEPT
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} --sport 27005 -m u32 --u32 '0>>22&0x3C@9&0xFF=0x71' -m limit --limit 20/second --limit-burst 70 -j ACCEPT
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} ! --sport 27005 -m u32 --u32 '0>>22&0x3C@9&0xFF=0x71' -m limit --limit 2/second --limit-burst 17 -j ACCEPT
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} --sport 27005 -m u32 --u32 '0>>22&0x3C@9&0xFF=0x6b' -m limit --limit 20/second --limit-burst 70 -j ACCEPT
iptables -I SRCDS-TRF -p udp -d {IPDST} --dport {PORTDST} ! --sport 27005 -m u32 --u32 '0>>22&0x3C@9&0xFF=0x6b' -m limit --limit 2/second --limit-burst 17 -j ACCEPT

这有效，但是我必须为每个 IP 和端口创建许多这些规则。如果我不提供 IP Destination 和 Port Destination，它会作为一个整体的数据包限制而不是每个 IP，当一个应用程序的流量激增而其余应用程序也受到速率限制时，这会导致问题。

有没有更简单的方法来创建一组规则，而不是可能有数百个？

Answer 1

1) 使用 IP sets , iptables 的内核扩展, 将您的速率限制规则应用于一组 IP 地址，和/或；

2) Use Shorewall帮助 iptables规则配置。