iptables限制某个ip或者某组ip的连接数
测试规则如下：
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
#-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEP
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -p tcp --syn --dport 22 -m connlimit --connlimit-above 3 --connlimit-mask 0 -j DROP
-A INPUT -s 192.168.10.0/24 -j ACCEPT
-A OUTPUT -d 192.168.10.0/24 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A INPUT -j DROP
-A OUTPUT -j DROP
COMMIT
主要用到的模块connlimit
-A INPUT -p tcp --syn --dport 22 -m connlimit --connlimit-above 3 --connlimit-mask 0 -j DROP #输入的目标端口是22，也就是访问本机22端口的流量，如果连接数大于3，则DROP流量，connlimit-above这个是连接数的统计，如果大于3就满足条件，connlimit-mask这个是定义那组主机，此处跟的一个数值是网络位，子网掩码，也就是connlimit-mask 0 这个ip组的连接数大于connlimit-above 3则DROP
-A INPUT -s 192.168.10.0/24 -j ACCEPT #允许这个段的输入流量
-A OUTPUT -d 192.168.10.0/24 -j ACCEPT #允许这个段的输出流量
总体描述为流量过滤端口和连接数以及网络位，如果满足第一条，则拒绝，流量不再匹配下边的规则，如果不匹配，则第二条规则会允许流量，第一条中掩吗为0，就表示所有的ip，也就是说不管什么ip，只要连接此服务器的22端口超过3个，则DROP。
如果吧--connlimit-mask 0 这个去掉，那么connlimit-mask值默认会是32，也就是说，某个ip链接此服务器超过3个，则drop，如果又4台机器，每台机器连一个，那么它不会drop！
也就是说connlimit-above 3这个的数量所限制的区域是由--connlimit-mask 0而定！
--------------------------------限制速度----------------------------
在filter下面一行增加以下两行
-A FORWARD -m limit -d 192.168.0.2 --limit 30/sec -j ACCEPT # 这句意思是限定每秒只转发30个到达192.168.0.2的数据包(约每秒45KB 一个数据包是1.5KB)
-A FORWARD -d 192.168.0.2 -j DROP #这句作用是超过限制的到达192.168.0.2的数据包不通过)
-------------------------------封指定字符串---------------------------
iptables -I INPUT -p tcp -m string --string "qq.com" --algo bm -j DROP
iptables -I INPUT -p udp -m string --string "qq.com" --algo kmp -j DROP
------------------------------封指定IP段（使用ipset 模块）-----------------
ipset restore<<yunnan.txt
create yunnan hash:net family inet hashsize 1024 maxelem 65536 add yunnan 182.240.0.0/13 add yunnan 106.56.0.0/13 add yunnan 116.52.0.0/14 add yunnan 112.112.0.0/14 add yunnan 14.204.0.0/15 add yunnan 222.220.0.0/15 add yunnan 116.248.0.0/15 add yunnan 112.116.0.0/15 add yunnan 42.242.0.0/15 add yunnan 60.160.0.0/15 add yunnan 222.219.0.0/16 add yunnan 61.166.0.0/16 add yunnan 218.63.0.0/16 add yunnan 119.62.0.0/16 add yunnan 180.180.0.0/16 add yunnan 221.213.0.0/16 add yunnan 218.62.128.0/17 add yunnan 222.172.128.0/17 add yunnan 180.129.128.0/17 add yunnan 221.3.128.0/17 add yunnan 61.138.192.0/18 add yunnan 202.98.0.0/16 add yunnan 103.3.116.0/22 add yunnan 103.22.28.0/22
iptables -A INPUT -j SET --add-set yunnan src //动态添加IP到一个ipset中
iptables -A INPUT -m set --match-set yunnan src -j DROP //符合条件ipset的封锁掉
ipset add yunnan 1.1.1.1/32 //添加
ipset del yunnan 1.1.1.1/32 //删除
ipset list yunnan //显示
链接：IPSET使用详解 https://www.jb51.net/article/127524.htm