ipfw limit, ограничение ссесий

[doubtpoint]

Как работает ipfw limit?

 

 

Например правила IPFW

1.Разрешение VPN,HTTP и т.д. для сервера

 

2. Запрет некоторым пользоваться инетом

fwd 127.0.0.1,1200 ip from 172.17.x.y to any

 

3. Ограничение скорости

pipe 1751 ip from 172.17.x.y to any in

 

4. Учет трафика

count ip from 172.17.x.y to any in

count ip from any to 172.17.x.y out

 

5.см. ниже

 

6. Разрешение трафика

allow ip from 172.17.0.0/16 to any

allow ip from any to 172.17.0.0/16

 

Чтобы после pipe сосчитать трафик

sysctl net.inet.ip.fw.one_pass=0

 

 

 

 

5. Теперь дописываем ограничение сессий

allow ip from 172.17.0.0/16 to any limit src-addr 10

Тогда правила с pipe и count просто игнорируются :-) хотя лимит позже написан.

[doubtpoint]

Такое чувство, что когда я ставлю ipfw limit она аналогично keep state пропускает весь трафик и не учитывает ни cout ни pipe.

 

Может есть другое решение?

[jab]

limit подразумевает stateful behavior, соответственно надо и строить его

[jab]

Да и вообще осторожнее с динамическими правилами, можно положить тачку насмерть если на каждый ip будет по куче правил генериться.