iptables 的 limit 模块无法按单 IP 限速，必须用 hashlimit（按源 IP 独立计数）配合 connlimit（限制并发连接）实现精准防护：hashlimit 控制每分钟新建连接频次，connlimit 防止单 IP 耗尽资源，两者需置于 INPUT 链顶部且先 hashlimit 后 connlimit，并配合应用层防护。
iptables 的 limit 模块本身不能按单 IP 独立限速，它只做全局速率统计。所谓“平滑限制单 IP 对特定服务端口的访问峰值”，真正可行且推荐的做法是：用 hashlimit 控制每个 IP 的新建连接频率，再叠加 connlimit 约束并发连接数——两者组合才能兼顾防爆破与防资源耗尽。
必须用 hashlimit 替代 limit 实现单 IP 精准限速
limit 模块所有匹配包共用一个令牌桶，100 个不同 IP 各发 1 个 SYN 和 1 个 IP 发 100 个 SYN 在它眼里没区别。而 hashlimit 按源 IP 维护独立计数器，这才是生产环境该用的方案：
- 限制每个 IP 每分钟最多 5 次新连接（如登录接口 3000 端口）：
iptables -A INPUT -p tcp --dport 3000 -m state --state NEW -m hashlimit --hashlimit-above 5/min --hashlimit-burst 8 --hashlimit-mode srcip --hashlimit-name login-rate -j DROP -
--hashlimit-burst 8允许短时重试（输错密码后立即再试），避免网络抖动误伤 -
--hashlimit-name必须指定唯一名称，否则内核无法维护独立哈希表 - 首次上线建议先用
-j LOG --log-prefix "LOGIN-LIMIT: "替代-j DROP，查dmesg | grep LOGIN-LIMIT验证拦截是否符合预期
搭配 connlimit 防止单 IP 占满连接资源
只限新建连接速率还不够——攻击者可能建少量连接后长期保持，慢慢耗尽服务端文件描述符或内存。这时需补充并发控制：
- 限制每个 IP 对 3000 端口最多维持 3 个已建立连接：
iptables -A INPUT -p tcp --dport 3000 -m connlimit --connlimit-above 3 --connlimit-mask 32 -j REJECT --reject-with tcp-reset -
--connlimit-mask 32表示按单个 IPv4 地址计数（若想按 /24 网段统管，改用--connlimit-mask 24） - 用
REJECT而非DROP，让客户端快速感知失败，避免超时等待
规则顺序和位置必须严格把控
这两类规则必须放在 INPUT 链靠前，并确保在任何宽泛 ACCEPT 规则（如允许全部 ESTABLISHED）之前生效：
- 用
-I INPUT 1插入最顶部，而非-A追加到末尾 - hashlimit 规则要早于 connlimit 规则（先控频次，再控数量）
- 务必配合
-m state --state NEW，只作用于新建连接，不干扰已有会话的数据包 - 验证是否生效：
iptables -L INPUT -n -v | grep 3000查看匹配包计数；模拟请求时用curl -s http://localhost:3000/login多次触发，观察响应延迟或拒绝行为
别忽略服务层自身防护能力
iptables 是网络层兜底，不是替代应用层安全的方案：
- SSH 服务应启用
MaxAuthTries和LoginGraceTime，避免被 iptables 规则绕过 - Web 登录接口需自带验证码、账号锁定、IP 封禁等逻辑，iptables 只承担第一道流量筛滤
- 若服务部署在云上，可结合云厂商 WAF 或安全组做前置过滤，iptables 作为最后防线
