怎么利用Iptables的Hashlimit模块针对特定系统服务端口精准限流-安全-PHP中文网

iptables hashlimit模块可对特定端口按连接速率动态限流，核心是匹配端口+合理哈希粒度+选择srcip等模式，需配合--state NEW、设置burst与expire参数，并优先配置白名单。

怎么利用iptables的hashlimit模块针对特定系统服务端口精准限流

用 iptables 的 hashlimit 模块对特定服务端口限流，核心是“按连接速率或请求频率做动态分流控制”，而不是简单封禁。关键在于匹配目标端口 + 设置合理的哈希桶粒度 + 选择合适的触发模式（如 per-ip 或 per-port），避免误伤正常用户或漏控攻击流量。

明确限流目标和服务端口

先确认你要保护的服务及其监听端口，比如：

Web 服务：TCP 80 / 443
SSH 登录：TCP 22
数据库访问：TCP 3306（MySQL）、5432（PostgreSQL）
API 接口：自定义端口如 8080、9000

注意区分 入站（INPUT） 和 转发（FORWARD） 链——大多数服务限流应作用于 INPUT 链；若服务部署在 NAT 后或容器中，可能需调整链位置。

基础 hashlimit 限流规则写法

以限制单个 IP 对 SSH 端口（22）的新连接速率为每分钟 5 次为例：

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m hashlimit \
  --hashlimit-above 5/min \
  --hashlimit-burst 10 \
  --hashlimit-mode srcip \
  --hashlimit-name ssh_limit \
  --hashlimit-htable-expire 300000 \
  -j DROP

各参数含义：

--hashlimit-above 5/min：超过每分钟 5 个新连接即触发限流
--hashlimit-burst 10：允许短时突发最多 10 个连接（防误判）
--hashlimit-mode srcip：按源 IP 建立哈希桶，实现“每个 IP 独立计数”
--hashlimit-name ssh_limit：为该规则命名，便于调试和清理
--hashlimit-htable-expire 300000：哈希表项 5 分钟无活动后自动过期（单位毫秒）

⚠️ 注意：--state NEW 是必须的，否则会把已建立连接的 ACK、FIN 等包也纳入统计，导致误限。

针对不同场景的进阶配置技巧

根据业务特性灵活组合参数：

按目标端口分组限流（适合多服务共用一个 IP）：
使用 --hashlimit-mode srcip,dstport，让同一 IP 访问不同端口互不影响
限制 HTTP 请求频率（非连接）：
结合 string 或 http 模块识别 GET/POST，再套 hashlimit；但更推荐用 Nginx 或应用层限流，iptables 在七层识别效率低且易绕过
防止扫描类探测：
对未开放端口加通用限流，例如：-p tcp -m multiport --dports 21,22,23,25,110,143 --syn + hashlimit，限制 SYN 包速率
白名单优先处理：
在限流规则前插入 ACCEPT 规则放行运维 IP：iptables -I INPUT -s 192.168.10.5 -p tcp --dport 22 -j ACCEPT