ICG3000连接数限制
- 0关注
- 0收藏，48浏览
问题描述：
ICG3000连接数数限制
interface GigabitEthernet0/3
port link-mode bridge
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 10 100
connection-limit apply policy 1
acl advanced 3001
rule 0 permit ip source 192.168.10.0 0.0.0.255
connection-limit policy 1
limit 1 acl 3000 per-source amount 500 400
组网及组网描述：
在实际应用。测试连接数达到1000，是哪里配置 错了吗？
你的连接数限制策略引用的是ACL 3000，但配置中只创建了ACL 3001，ACL 3000不存在。因此策略无法匹配任何流量，限制不生效。
排查步骤：
1. 确认ACL 3000是否存在：
display acl 3000
如果提示不存在，就是根因。
2. 创建ACL 3000并添加规则：
acl advanced 3000
rule 0 permit ip source 192.168.10.0 0.0.0.255
quit
3. 确认策略已正确应用到接口：
display connection-limit policy 1
display connection-limit interface GigabitEthernet0/3
4. 查看当前连接数统计：
display connection-limit statistics
修正后，per-source 500 400 表示每源IP上限500，触发阈值400，超过500会丢弃新连接。测试时确保源IP在192.168.10.0/24网段内。
你策略里写的是 acl 3000，但是你只配置了 acl advanced 3001！3000 这个 ACL 不存在，这条 limit 规则根本不生效，所以没有限制，连接数跑到 1000H3C
你的配置摘抄：
acl advanced 3001
rule 0 permit ip source 192.168.10.0 0.0.0.255
connection-limit policy 1
limit 1 acl 3000 per-source amount 500 400
✅ 你想要匹配网段是 192.168.10.0/24，ACL 编号是 3001 ❌ 但是 limit 规则引用的是 acl 3000（空 ACL，没有任何 permit），报文匹配不到这条 limit 规则，连接数限制完全不工作。
第二点：接口应用位置补充（ICG3000，bridge 模式）
interface GigabitEthernet0/3
port link-mode bridge
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 10 100
connection-limit apply policy 1
connection-limit apply policy在桥接口下，只对从这个接口入方向进来的报文做连接数匹配； 如果内网流量是从别的接口进入 ICG，这条策略也抓不到。 一般内网网段的连接数限制推荐两种做法：
- 在内网 VLAN-interface 三层接口下应用；
- 全局应用
connection-limit apply global policy 1（推荐测试）
第三点：参数含义确认（避免理解错）
limit 1 acl 3001 per-source amount 500 400
- per-source：每一个源 IP 单独统计
- amount 500 400：上限 500，下限 400
含义：单 IP 新建连接到 500 条，禁止新建；等这个 IP 连接数降到 400 以下，才放行新建连接 ⚠️ 注意：修改策略后，只对新连接生效，已经存在的老连接不会被踢掉，所以改完要等老会话老化，或者清空会话表
reset session table测试。
修正后的完整正确配置
acl advanced 3001
rule 0 permit ip source 192.168.10.0 0.0.0.255
quit
connection-limit policy 1
# 把3000改成3001
limit 1 acl 3001 per-source amount 500 400
quit
# 方案A（推荐全局，所有流量都受限制）
connection-limit apply global policy 1
# 方案B：保留在G0/3桥接口应用（只对G0/3入方向流量生效）
# interface GigabitEthernet0/3
# connection-limit apply policy 1
验证排查命令
# 查看连接数限制策略规则
display connection-limit policy 1
# 查看连接数统计
display connection-limit statistics
# 查看当前会话表，看单IP连接数
display session table source 192.168.10.x
额外容易踩坑的点
- ACL 末尾隐含 deny，如果你还有其他网段要限制，要新增 limit 规则；
- 连接数限制统计的是NAT 后的会话，如果你 ICG 做 NAT，要区分是限制内网主机单 IP，还是限制 NAT 公网地址；
- 如果同时全局 + 接口都应用策略，会叠加校验，任意一个达到上限就拦截H3C；
- 测试的时候不要在已经跑满会话的环境直接改，存量会话不受新策略管控，会误以为配置还是无效。
快速总结
根因：ACL 编号写错（3000 vs 3001），limit 规则匹配不到流量，限制不生效。改完 ACL 编号，再根据你的流量方向选择接口应用或者全局应用。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论