ER3200G3网络连接总个数是怎么统计

10.3  连接限制

10.3.1  简介

连接限制功能是一种安全机制，通过限制每个IP地址主动发起连接的个数，达到合理分配设备处理资源、防范恶意连接的效果。

如果设备发现来自某IP地址的TCP或UDP连接数目超过指定的数目，将禁止该连接建立。直到该连接数低于限制数时，其才被允许新建连接。

设备支持配置如下两种连接限制：

·     网络连接限制：在指定IP地址范围内，配置每个IP地址发起连接的个数限制。此方式用于对设备上的所有接口收到的连接进行控制。

·     VLAN网络连接限制：在指定VLAN接口上，配置每个IP地址发起连接的个数限制。此方式用于对指定VLAN接口收到的连接进行控制。

10.3.2  注意事项

·     每条网络连接数限制规则，如果是IP地址范围，表示该地址段内的每个IP最多建立的网络连接数都将限制到设定的上限值。如果起始地址和结束地址相同，表示仅限制该IP的网络连接数。

·     限制规则表中可以加入多条网络连接数限制规则，配置规则时允许某几条中的IP地址重叠，但以先加入的规则优先级为高。也就是对于相同的IP地址，后加入的网络连接数限制设置不会覆盖先前的设置，仍以先前配置的连接数限制为准。

·     允许在限制规则表中对先前配置的规则进行删除、修改等操作。但修改不能改变规则的优先级，生效规则仍以规则要点 2 的约定为准。

·     网络连接限速仅限制内网IP向因特网发起的网络连接；下列情形不在限制范围内：向设备本身和内网其它IP发起的连接，以及由因特网向内网IP发起的连接。

·     总连接数=TCP连接数+UDP连接数+其他连接数，其他连接指除TCP和UDP连接之外的连接，如ICMP等。某IP可以建立新连接的条件是：此IP已经建立的连接数未达到设置的上限值。比如某IP需要建立一条TCP连接，则必须满足此IP已经建立的总连接数未达到总连接数上限，TCP连接数未达到TCP连接数上限，建立UDP连接和其他连接的条件跟TCP相同。

·     TCP连接数设为0和留空的区别是：设置为0表示不允许建立TCP连接，留空表示不对TCP连接数进行单独限制，但仍需满足总连接数限制条件。UDP连接数情况类似。

·     每条VLAN网络连接限数规则，表示指定VLAN内最多建立的网络连接数都将被限制到设定的上限值。注意，这里设置的连接数上限指的是该VLAN内所有IP的连接数之和的上限，而非每IP各自的连接数上限

·     总连接数=TCP连接数+UDP连接数+其他连接数，其他连接指除TCP和UDP连接之外的连接，如ICMP等。某VLAN可以建立新连接的条件是：此VLAN内IP已经建立的连接数未达到设置的上限值。比如某VLAN内某个IP需要建立一条TCP连接，则必须满足此VLAN已经建立的总连接数未达到总连接数上限，TCP连接数未达到TCP连接数上限，建立UDP连接的条件跟建立TCP连接类似。

·     VLAN网络连接限数仅限制VLAN内各IP向因特网发起的网络连接；下列情形不在限制范围内：向设备本身、同一个VLAN内不同IP之间发起的连接、不同VLAN内的IP相互发起的连接，以及由因特网向VLAN内的IP发起的连接。

·     TCP连接数设为0和留空的区别是：设置为0表示不允许建立TCP连接，留空表示不对TCP连接数进行单独限制，但仍需满足总连接数限制条件。UDP连接数情况类似。

10.3.3  配置网络连接限制数

(1)     单击导航树中[网络安全/连接限制]菜单项，进入连接限制配置页面。

(2)     单击“网络连接限制数”页签，进入网络连接限制数配置页面。

(3)     勾选“开启网络连接限制数”选项，进入网络连接限制数配置页面。

(4)     点击<添加>按钮，弹出新建网络连接限制数规则对话框。

(5)     在“连接限制地址分组”配置项处，选择该规则所匹配的连接限制地址分组。如需新建地址分组，可通过点击右侧“新增地址组”按钮创建新的地址组。

(6)     在“每IP总连接数上限”配置项处，输入每个IP地址所允许发起连接的总个数上限。

相同源IP，源端口、目的IP、目的端口或报文协议不完全相同的连接均属于不同的连接。

(7)     在“每IP TCP连接数上限”配置项处，输入每个IP地址所允许发起的TCP连接的个数上限。您可以在上面设置的总连接限制数下，对TCP连接数进行单独限制。

(8)     在“每IP UDP连接数上限”配置项处，输入每个IP地址所允许发起的UDP连接的个数上限。您可以在上面设置的总连接限制数下，对UDP连接数进行单独限制。

(9)     在“描述”配置项处，输入规则描述信息。

(10)     点击<应用>按钮，完成配置。

10.3.4  配置VLAN网络连接限制数

(1)     单击导航树中[网络安全/连接限制]菜单项，进入连接限制配置页面。

(2)     单击“VLAN网络连接限制数”页签，进入VLAN网络连接限制数配置页面。

(3)     勾选“开启VLAN网络连接限制数”选项，进入VLAN网络连接限制数配置页面。

(4)     点击<添加>按钮，弹出新建VLAN网络连接限制数规则对话框。

(5)     在“VLAN接口”下拉菜单处，选择应用此规则的VLAN接口。

(6)     选择“启动连接限制功能”选项，启动连接限制功能。

(7)     在“总连接数上限”配置项处，输入VLAN接口所允许发起连接的总个数上限。。

相同源IP，源端口、目的IP、目的端口或报文协议不完全相同的连接均属于不同的连接。

(8)     在“TCP连接数上限”配置项处，输入VLAN接口所允许发起的TCP连接的个数上限。您可以在上面设置的总连接限制数下，对TCP连接数进行单独限制。

(9)     在“UDP连接数上限”配置项处，输入VLAN接口所允许发起的UDP连接的个数上限。您可以在上面设置的总连接限制数下，对UDP连接数进行单独限制。

(10)     在“描述”配置项处，输入规则描述信息。

(11)     点击<应用>按钮，完成配置。