iptables connlimit模块可实时限制单IP并发连接数，仅统计ESTABLISHED/RELATED状态TCP连接，需内核支持xt_connlimit，配合recent模块可兼顾长连接与短时高频新建连接防护。

用 iptables 的 connlimit 模块限制单 IP 并发连接数，是防止单个客户端耗尽服务器连接资源最直接有效的方式。它不看请求内容、不依赖日志，只统计每个源 IP 当前处于 ESTABLISHED 或 RELATED 状态的 TCP 连接数，实时拦截超限连接，对 CC 攻击、爬虫乱建连、误配脚本等场景特别管用。

确认 connlimit 模块已就绪

该功能依赖内核模块 xt_connlimit，不是 iptables 自身带的插件：

• 运行 lsmod | grep connlimit，有输出说明已加载
• 若无结果，检查内核配置：zcat /proc/config.gz | grep CONFIG_IP_NF_CONNLIMIT，确认值为 y 或 m
• 不支持时不能靠升级 iptables 解决，必须更新内核或重新编译模块

写对规则：匹配目标 + 明确动作

典型命令结构如下（以限制 HTTP 80 端口为例）：

iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 25 -j REJECT --reject-with tcp-reset

• --dport 80：只作用于目标端口 80 的流量
• --connlimit-above 25：当前 ESTABLISHED 连接数 >25 即触发
• 推荐用 -j REJECT --reject-with tcp-reset，比 DROP 更友好——客户端能立刻收到 RST 包，避免长时间卡在 connect() 或 read() 超时
• 规则应放在“放行已建立连接”（-m state --state ESTABLISHED,RELATED -j ACCEPT）之后、“允许 SSH”等白名单规则之前，防止误拦

按服务类型设合理阈值

硬套“10 连接”容易误伤正常用户。需结合协议特性与访问习惯：

• 普通官网/博客页面：20–30（考虑多标签页、图片/JS 并行加载）
• HTTPS（443）服务：25–40（TLS 握手开销大，浏览器倾向复用连接）
• RESTful API 接口：50–100（客户端常启用 Keep-Alive，连接生命周期长）
• SSH（22）、MySQL（3306）、Redis（6379）等管理/后端端口：≤3–5（非运维 IP 不该长期连入）

精准控制范围：IP 还是网段？

默认按单个 IPv4 地址（/32）统计，如需放宽到子网，用 --connlimit-mask：

• --connlimit-mask 32：精确到单 IP（默认行为，可省略）
• --connlimit-mask 24：按 C 类网段（如 192.168.1.0/24）汇总计数，适合内网网关统一限流
• --connlimit-mask 16：按 B 类网段（如 192.168.0.0/16）统计，慎用，易误伤

补充防护：只靠 connlimit 不够

connlimit 控制“同时在线连接数”，但对短时高频新建连接（如 1 秒内狂建 20 个新会话）无感。建议搭配 recent 模块做时间窗口限制：

• 记录新连接：iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --name http_new --set
• 5 秒内新建 ≥8 次即丢弃：iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --name http_new --update --seconds 5 --hitcount 8 -j DROP
• 两者叠加，既防长连接占坑，也防快连风暴