iptables hashlimit模块可实现按ip独立限速、允许突发流量的精准api防护，需绑定端口、设合理令牌桶参数（如8/sec+24 burst）、配accept/drop闭环规则并持久化。
要用 iptables 的 hashlimit 模块给业务 API 做精准防护，关键不是“堵死”，而是“按 IP 独立控速 + 允许合理突发 + 规则闭环”。它比 limit 模块更贴合真实流量特征，尤其适合 HTTP/HTTPS、RESTful 接口这类暴露在公网、需防单 IP 刷量的场景。
明确限流维度和匹配条件
API 通常走固定端口（如 8080、3000、8443），必须绑定协议与端口，并决定“谁该被单独限制”：
- 最常用：--hashlimit-mode srcip——每个客户端 IP 单独计数，防恶意脚本高频调用
- 多服务共存时：--hashlimit-mode srcip,dstport——避免不同服务（如 API 和管理后台）互相干扰
- 不建议单独用 dstport 或 dstip——无法区分攻击源，等于全局限速，容易误伤正常用户
设置合理的令牌桶参数
hashlimit 底层是令牌桶模型，两个参数直接决定防护效果：
- --hashlimit 8/sec：每秒补充 8 个令牌，即长期平均请求上限（例如页面加载带 3–5 个 AJAX，8/s 足够覆盖）
- --hashlimit-burst 24：桶最大容量 24，允许短时集中请求（如登录后连续拉取用户信息、订单、通知）
示例规则（保护 8080 端口的 API）：
iptables -A INPUT -p tcp --dport 8080 -m hashlimit \--hashlimit-name api-8080 \
--hashlimit 8/sec \
--hashlimit-burst 24 \
--hashlimit-mode srcip \
-j ACCEPT
配套动作必须闭环
只加 ACCEPT 不起作用，必须形成完整处理链：
- 紧接一条无条件 DROP 规则：iptables -A INPUT -p tcp --dport 8080 -j DROP，丢弃所有未通过限流检查的包
- 指定唯一 --hashlimit-name（如 api-8080），便于后续查状态：cat /proc/net/ipt_hashlimit/api-8080
- 若只想限制新建连接（如防暴力注册），可加 -m state --state NEW；若要控全部数据包（含响应重传），则不加
- 规则生效后务必持久化：iptables-save > /etc/sysconfig/iptables（CentOS）或 netfilter-persistent save（Debian/Ubuntu）
上线前验证与调优要点
规则写完不能只看是否加载成功，要实测行为是否符合预期：
- 用 watch -n1 'cat /proc/net/ipt_hashlimit/api-8080' 观察各 IP 当前令牌余量变化
- 用 curl 循环请求（如 for i in {1..30}; do curl -s -o /dev/null http://x.x.x.x:8080/api/test; done），确认第 25 次起开始丢包或超时
- burst 值不宜设过高（如超过 3×limit），否则失去限流意义；也不宜过低（如 burst=5），否则影响首屏加载或表单提交体验
- 对登录、支付等敏感接口，可叠加 -m connlimit --connlimit-above 2 控制并发连接数，形成速率+连接双保险
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
