Gezieltes Begrenzen von Zugriffen aus dem WAN

megazocker

Hallo Leute,

wenn man bisher die Erweiterten Einstellungen nicht berücksichtigt hat und an der Stelle nun nach regulieren will, um der Anzahl paralleler Zugriffe einer IP beschränken möchte, gibt es da Richtlinien die es zu beherzigen gilt ?

Simultaneous client connection limit
Maximum state entries per host
Maximum new connections / per second
State Timeout in seconds

mit "Simultaneous client connection limit" legt die Anzahl gleichzeitiger Verbindungen einer IP fest
mit "Maximum state entries per host" lege ich die maximale Anzahl der States pro Host fest
mit "Maximum new connections / per second" lege ich die Maximale Anzahl der neuen Verbindungen pro Sekunde fest
mit "State Timeout in seconds" lege ich die Zeit fest wie lange ein State Gültigkeit hat bevor er verfällt

Gibt es da eine Empfohlene Vorgehensweise ?
Sind diese Möglichkeiten voneinander oder von anderen Einstellungen abhängig mit dem Effekt das sie eventuell aus diesen Gründen nicht greifen ?

Hintergrund ist das ein Client zuviele Verbindungen auf einen Webserver geöffnet hat, über Stunden gehalten und neue geöffnet.

Danke

EmL

ich habe damit noch nicht rumgespielt. Um das ganze aber auf den einen Client zu begrenzen und nicht von Anfragen der User durch irgendwelche Seiteneffekte im restlichen LAN durchdrehen zu müssen, würde ich folgende Vorgehensweise bevorzugen:

Dem "Problemclient" per DHCP eine statische IP zuweisen

Eine Regel für diesen Client mit "Simultaneous client conneciton limit=1" zu der IP des Zielservers setzen (kann man ja noch anpassen in Abstimmung mit dem User).

Evtl. noch mit den "State Timeouts in seconds" rumspielen …

megazocker

Hallo

Ich wollte eigentlich Zugriffe von einem Externen Client (zb in Russland) auf einen Server beschränken (Webserver)
der eben zu viele Verbindungen (States) aufmacht um Last auf dem Betreffenden Server zu vermindern.

Gruß

EmL

Auch kein Problem, sollte doch genauso funktionieren, du musst halt nur Source und Destination vertauschen …

heiko

In 1.3 können ganze Länderranges geblockt werden, wird aber wohl noch etwas dauern…