+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Лимит подключений для домашнего пользователя и бесплатный лимит подключений.

Лимит подключений для домашнего пользователя и бесплатный лимит подключений., RouterOS

aitsecurity

Guest

06.06.2006 20:11:00

Мой сценарий такой: есть небольшой Wisp, с обычным пользователем (домашний пользователь, один ПК), и SOHO, кибер или офис с 10 и более ПК. Если применить это правило /ip firewall filter add action=drop connection-limit=5,32 protocol=tcp tcp-flags=syn, chain=forward, это правило ограничивает до 6 подключений для каждого пользователя. У меня возникнут проблемы с моими SOHO клиентами, но это будет работать для домашних пользователей. Сейчас у меня два сегмента: обычный сегмент пользователя – 192.168.150.x/24, а для SOHO – 192.168.200.x/24. Если применить это правило: add chain=forward src-address=192.168.150.0/24 protocol=tcp tcp-flags=syn connection-limit=5,32 action=drop comment=“limit one pc internet for home” disabled=no, сработает??? Мой вопрос в том, что я указал в src-address /24, а в connection-limit маска 32 бита??? Или правильное правило: add chain=forward src-address=192.168.150.0 protocol=tcp tcp-flags=syn connection-limit=5,24 action=drop comment=“limit one pc internet for home” disabled=no? Посмотри, я изменил: в src-address указал только сегмент, без /24, а в connection-limit указал маску 24 бита. Я хочу контролировать обычных пользователей, чтобы они не могли раздавать интернет, а SOHO клиенты могли.

С уважением,
Daniel White

janisk

Guest

07.06.2006 10:41:00

Если хочешь ограничить подключения для одного хоста, вводи /32. Если хочешь ограничить всю сеть, используй /24, но помни: если ты ограничиваешь всю сеть, то один пользователь сети сможет использовать все доступные подключения, а остальные люди в этой сети не смогут пользоваться сетью вообще. И нет, ты не сможешь определить, использует ли домашний пользователь роутер с правильно настроенным NAT (маскарадом).

maxfava

Guest

07.06.2006 13:28:00

У меня много сомнений насчёт лимита подключений на пользователя. Это правило ограничивает количество новых подключений, открываемых одновременно, или общий лимит? Я попытался открыть p2p на клиенте, и его статистика показывает 400 подключений, в то время как на mk лимит был установлен на 50. Руководство не очень понятное.

janisk Guest	#4 0 07.06.2006 13:52:00 Подключения к роутеру или через него?

maxfava Guest	#5 0 07.06.2006 23:05:00 Я добавил правило типа: add chain=forward src-address=192.168.150.0 protocol=tcp tcp-flags=syn connection-limit=5,24 action=drop.

samsoft08 Guest	#6 0 07.06.2006 23:06:00 Ну, я всегда говорю, нам нужен МАНУАЛ, чтобы почитать MT MANUAL.

janisk Guest	#7 0 08.06.2006 05:26:00 Как мы можем прочитать в мануале, чтобы разрешить не более 5 одновременных подключений от каждого клиента, сделайте следующее: /ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-limit=6,32 action=drop

sergejs Guest	#8 0 08.06.2006 05:58:00 Обрати внимание, лимит касается TCP-соединений. А если хочешь установить лимит для каждого сетевого клиента, используй команду, которую предоставил Janisk.

maxfava

Guest

08.06.2006 06:35:00

Спасибо. Окей, но одновременность, что это значит: полное открытие соединения? открытие соединения в секунду? В некоторых случаях клиентский роутер отваливается, потому что число открытых соединений слишком велико. Что посоветуете?

aitsecurity Guest	#10 0 09.06.2006 01:46:00 Спасибо за ответ, а что для вас, народ?

janisk Guest	#11 0 09.06.2006 06:50:00 Люди – это сокращение от "people".

music Guest	#12 0 08.07.2006 13:46:00 Окей, очень хорошо. Но если я хочу ограничить пользователя с IP 192.168.1.1/32 до 300 подключений, а остальных – до 5… Как это сделать?

maxfava Guest	#13 0 08.07.2006 14:15:00 /ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-limit=300,32 action=drop src-address=192.168.1.1 Но я не знаю, не конфликтует ли это с предыдущим правилом. Различайте правила по src-address.

music Guest	#14 0 08.07.2006 18:03:00 Достаточно ли добавить первое правило в цепочку с IP-адресом, а потом правило для остальных? Правило в цепочке - для пользователя 192.168.1.1, ограничение в 300 подключений: /ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-limit=300,32 action=drop src-address=192.168.1.1 2.Правило в цепочке - для всех остальных: 6: /ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-limit=6,32 action=drop

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры