一个端口到底可以建立多少TCP连接?

一个端口到底可以建立多少TCP连接?

这是一个很基础的问题,但是网上对于这个问题的解释千奇百怪。

有人说,一个端口只能建立一个TCP连接,所以说无论服务还是客户端都最多只能建立65535个TCP连接。还有人说,服务端因为accept之后新建立的socket是重用listen的端口的,所以服务端最多可以建立65535×n个连接,而客户端connect建立的端口不可重用所以客户端只能65535。

这里有两个误解:

误解一:一个端口只能建立一个TCP连接。事实上Linux内核对TCP连接的识别是通过四元组来区分,即(源ip,源port,目标ip,目标port)。这个四元组只要任意一个不同,就是完全不同的连接!所以说,只要建立的连接是不同的,一个端口是可以建立多个TCP连接的!

误解二:客户端connect建立的端口不可重用。在一篇讨论这个问题的知乎专栏中作者说“当Linux作为客户端建立连接的时候,最大连接数量是受内核参数net.ipv4.ip_local_port_range限制 而ip_local_port_range是可配置的,最大理论范围是0-65535”。他的这个结论建立在下面的代码:

img

我们可以看到作者的方法是:在客户端建立num个socket和同一服务器ip:port建立连接,如果是这样那么从四元组出发目的ip和目的port都固定了,那一个客户端端口当然只能建立一个和同一ip:port的连接,那这样算当然只能建立65535(端口数)个连接了!但是场景应当换到和不同的服务端ip:port建立连接啊!也就是说,对于一个端口,只要它要建立的连接不同是可以建立多个连接的。所以对于客户端也没有所谓”端口不可重用所以客户端只能65535“的无稽之谈!其能建立的最大TCP连接数量也应当是65535×n。n取决于单进程/系统/用户最大能打开的文件描述数和内存情况,其实文件描述符数量也不要紧,可以改内核参数对应的限制,所以真正限制一台主机(无论服务客户)的TCP最大连接数的只有内存!

  • 30
    点赞
  • 45
    收藏
    觉得还不错? 一键收藏
  • 6
    评论
### 回答1: 要限制每个 IP 对每个端口TCP 连接数,可以使用 Linux iptables 工具。 首先,确保 iptables 已经安装。然后,运行以下命令: ``` iptables -A INPUT -p tcp --syn --dport <端口号> -m connlimit --connlimit-above 20 -j REJECT ``` 其中,<端口号> 是你想要限制连接数的端口号。例如,如果你想限制对端口 80 的连接数,命令如下: ``` iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 -j REJECT ``` 这条命令会在每个 IP 对端口 80 的连接数超过 20 时,拒绝新的连接请求。 注意:这条命令只会在内存中生效,如果想永久生效,需要将它保存到配置文件中,例如: ``` service iptables save ``` 或者 ``` /sbin/iptables-save > /etc/sysconfig/iptables ``` 保存之后,重启 iptables 服务即可使规则永久生效。 ### 回答2: 要实现Linux iptables限制每个IP对每个端口最多同时建立20个TCP连接,可以使用iptables的限制连接数模块connlimit。 首先,我们需要先加载connlimit模块。可以在终端中输入以下命令: ```shell sudo modprobe ipt_connlimit ``` 然后,我们可以使用以下规则来限制每个IP对每个端口最多同时建立20个TCP连接。假设要限制IP对80端口: ```shell sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j REJECT ``` 以上规则的意思是,当某个IP请求连接80端口时,如果已有20个以上的连接建立,则将其连接请求拒绝。 若想对其他端口进行限制,只需将上述规则的端口号改为相应的端口即可。 为了确保规则在系统启动时自动加载,可以将以上规则添加到防火墙规则配置文件(一般是/etc/iptables/rules.v4或/etc/sysconfig/iptables)中。添加规则后,可以使用以下命令使规则生效: ```shell sudo iptables-restore < /path/to/iptables-rules-file ``` 这样,每个IP对指定端口TCP连接数将被限制为最多20个。 为了进一步保护系统和网络安全,建议搭配其他安全措施,如使用fail2ban来防范恶意攻击,或添加其他防火墙规则进行安全加固。 ### 回答3: 要实现对每个IP对每个端口最多同时建立20个TCP连接的限制,可以使用Linux中的iptables工具,具体步骤如下: 1. 首先,需要打开终端以管理员权限运行以下命令,以确保iptables工具已安装并可用: sudo apt-get install iptables 2. 使用以下命令创建一个新的iptables链,用于限制TCP连接数: sudo iptables -N CONNECTION_LIMIT 3. 在该新链中添加规则,以限制每个IP对每个端口的最大TCP连接数为20: sudo iptables -A CONNECTION_LIMIT -p tcp --syn --dport [端口号] -m connlimit --connlimit-above 20 --connlimit-mask 32 -j REJECT --reject-with tcp-reset 注意:将[端口号]替换为要限制连接数的实际端口号。 4. 将上述创建的新链连接到INPUT链,确保流量通过新链进行处理: sudo iptables -I INPUT -p tcp --syn --dport [端口号] -j CONNECTION_LIMIT 5. 保存iptables规则以便重启后仍然生效: sudo iptables-save | sudo tee /etc/iptables/rules.v4 这样,每个IP对每个端口的最大TCP连接数就被限制为20。请记住,这些规则将仅在防火墙处于活动状态时生效。如果你希望永久生效,可以将上述命令添加到系统启动脚本中。 注意:这个方法可以限制并发连接的数量,但无法防止一个攻击者使用多个IP地址同时建立连接。如需更加严格的限制,可能需要额外的防火墙解决方案。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 6
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值