Как ограничить входящий трафик?

Question

[Алеша]

Дудосят вебсокет. Скорость нормального пользователя 0.5-5kb/s, полился трафик по 10mb/s с кучи разных IP. Через tc получилось ограничить только общую скорость всего трафика. Можно как-то ограничить входящую скорость на каждое соединение, чтобы каждый коннект (не ip, а именно коннект) мог отправлять на сервер не больше 5kb/s?

Comments

[Сергей Соколов]

как вы измеряете трафик одного соединения? При превышении порога – отключать клиента не вариант?

[Алеша]

Сергей Соколов, к сожалению не вариант, иногда у нормальных клиентов могут быть периодические превышения, ограничить им скорость не пострадают, а отрубать нельзя.

Answer 1

[Gansterito]

Можно попробовать через модуль hashlimit с hashlimit-mode=srcip,srcport. Этот параметр поможет выполнить условие лимит на коннект.
Но, мне кажется, что правильней держать черные и белые списки на ipset.

Comments

[Алеша]

По IP нельзя блочить, атака с зараженных троянами компов по всей видимости идет, светятся IP кучи провайдеров которые динамические IP раздают или держат толпу на одном IP. Тут в идеале нужно именно скорость на коннект ограничить. hashlimit вроде не то.

Answer 2

[Владимир]

Рассмотрите вариант Haproxy как фронтенд перед вашим сервисом, там можно писать очень гибкие ACL с рейтилимитами трафика колва соединений и тд.

Comments

[Алеша]

Смотрел, не нашел как там именно скорость ограничивать.