09-安全命令参考

12-连接数限制命令

1 连接数限制

1.1 连接数限制配置命令

1.1.1 connection-limit apply global

1.1.2 connection-limit apply

1.1.3 connection-limit

1.1.4 display connection-limit

1.1.5 display connection-limit statistics

1.1.6 display connection-limit stat-nodes

1.1.7 limit

1.1.8 reset connection-limit statistics

1 连接数限制

1.1 连接数限制配置命令

1.1.1 connection-limit apply global

connection-limit apply global命令用来在全局应用连接数限制策略。

undo connection-limit apply global命令用来在全局取消应用的连接数限制策略。

【命令】

connection-limit apply global policy policy-id

undo connection-limit apply global policy

policy：指定IPv4连接数限制策略。

policy-id：连接数限制策略编号，取值范围1~32。

【使用指导】

全局最多只能应用一个IPv4连接数限制策略，后配置的IPv4连接数限制策略会覆盖已配置的对应类型的策略。

【举例】

# 在全局应用编号为1的IPv4连接数限制策略。

<Sysname> system-view

[Sysname] connection-limit apply global policy 1

【相关命令】

· connection-limit

· limit

1.1.2 connection-limit apply

connection-limit apply命令用来在接口上应用连接数限制策略。

undo connection-limit apply命令用来在接口上取消应用的连接数限制策略。

【命令】

connection-limit apply policy policy-id

undo connection-limit apply policy

policy：指定IPv4连接数限制策略。

policy-id：连接数限制策略编号，取值范围1~32。

【使用指导】

同一个接口上同时只能应用一个IPv4连接数限制策略，后配置的IPv4连接数限制策略会覆盖已配置的对应类型的策略。

【举例】

# 在接口GigabitEthernet0/1上应用编号为1的IPv4连接数限制策略。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/1

[Sysname-GigabitEthernet0/1] connection-limit apply policy 1

【相关命令】

· connection-limit

· limit

1.1.3 connection-limit

connection-limit命令用来创建连接数限制策略，并进入连接数限制策略视图。

undo connection-limit命令用来删除连接数限制策略。

【命令】

connection-limit policy policy-id

undo connection-limit policy policy-id

policy：指定IPv4连接数限制策略。

policy-id：连接数限制策略编号（IPv4连接数限制策略的编号空间各自独立），取值范围1~32。

【举例】

#创建编号为1的IPv4连接数限制策略，并进入IPv4连接数限制策略视图。

<Sysname> system-view

[Sysname] connection-limit policy 1

[Sysname-connlmt-policy-1]

【相关命令】

· connection-limit apply

· connection-limit apply global

· display connection-limit

· limit

1.1.4 display connection-limit

display connection-limit命令用来显示连接数限制策略的配置信息。

【命令】

display connection-limit policy { policy-id | all }

policy：显示IPv4连接数限制策略。

policy-id：连接数限制策略编号，取值范围1~32。

all：显示所有指定类型的连接数限制策略。

【举例】

# 显示所有IPv4连接数限制策略的配置信息。

<Sysname> display connection-limit policy all

3 policies in total:

Policy Rule Stat Type HiThres LoThres ACL

--------------------------------------------------------------------------------

0 1 Src-Dst-Port 2000 1800 3000

12 Src-Dst 500 45 3001

255 -- 1000000 980000 2001

1 2 Dst-Port 800 70 3010

3 Src-Dst 100 90 3000

10 Src-Dst-Port 50 45 3003

11 Src 200 200 3004

200 -- 500000 498000 2002

28 4 Port 1500 1400 3100

5 Dst 3000 280 3101

21 Src-Dst 200 180 3102

25 Src-Port 50 35 3200

# 显示编号为1的IPv4连接数策略的配置信息。

<Sysname> display connection-limit policy 1

IPv4 connection limit policy 1 has been applied 5 times, and has 5 limit rules.

Limit rule list:

Policy Rule Stat Type HiThres LoThres ACL

--------------------------------------------------------------------------------

1 2 Dst-Port 800 700 3010

3 Src-Dst 100 90 3000

10 Src-Dst-Port 50 45 3003

11 Src 200 200 3004

200 -- 500000 498000 2002

Application list:

GigabitEthernet0/1

GigabitEthernet0/0

Vlan-interface1

Tunnel0

Global

display connection-limit命令显示信息描述表

字段	描述
Limit rule list	连接数限制策略信息列表
Policy	连接数限制策略编号
Rule	连接数限制规则编号
Stat Type	统计方式，有如下取值： · Src-Dst-Port：按源IP－目的IP－服务的组合进行统计和限制 · Src-Dst：按源IP－目的IP的组合进行统计和限制 · Src-Port：按源IP－服务的组合进行统计和限制 · Dst-Port：按目的IP－服务的组合进行统计和限制 · Src：按源IP进行统计和限制 · Dst：按目的IP进行统计和限制 · Port：按服务进行统计和限制 · Dslite：按DS-Lite隧道的B4设备进行统计和限制 · --：不按照具体的IP地址、服务进行统计和限制，与本规则引用的ACL相匹配的所有连接将整体受到指定的阈值限制
HiThres	连接数上限
LoThres	连接数下限
ACL	规则引用的ACL编号或ACL名称
Application list	连接数限制策略应用列表，包括接口名称和Global，其中Global表示该连接数限制策略应用在全局

【相关命令】

· connection-limit

· connection-limit apply

· connection-limit apply global

· limit

1.1.5 display connection-limit statistics

display connection-limit statistics命令用来显示连接数限制在全局或接口的统计信息。

【命令】

display connection-limit statistics { global | interface interface-type interface-number }

global：显示全局的连接数限制统计信息。

interface interface-type interface-number：显示指定接口的连接数限制统计信息，interface-type interface-number表示接口类型和接口编号。

【举例】

# 显示全局的连接数限制统计信息。

<Sysname> display connection-limit statistics global

Connection limit statistics (Global, slot 0):

Dropped IPv4 packets: 54781

表1-1 display connection-limit statistics命令显示信息描述表

字段	描述
Dropped IPv4 packet	匹配全局或接口IPv4连接数限制策略，因连接数超过指定上限而被丢弃的报文个数

【相关命令】

· connection-limit

· connection-limit apply

· connection-limit apply global

· limit

1.1.6 display connection-limit stat-nodes

display connection-limit stat-nodes命令用来显示连接数限制在全局或接口的IPv4统计节点列表。

【命令】

display connection-limit stat-nodes { global | interface interface-type interface-number } [ destination destination-ip | service-port port-number | source source-ip ] * [ count ]

display connection-limit stat-nodes { global | interface interface-type interface-number } dslite-peer b4-address [ count ]

global：显示全局的IPv4统计节点列表。

interface interface-type interface-number：显示指定接口的IPv4统计节点列表，interface-type interface-number表示接口类型和接口编号。

destination destination-ip：显示指定目的IP地址的IPv4统计节点列表。

service-port port-number：显示指定服务端口号的IPv4统计节点列表。

source source-ip：显示指定源IP地址的IPv4统计节点列表。

dslite-peer b4-address：显示指定DS-Lite B4设备的IPv4统计节点列表。

count：显示IPv4统计节点的个数。

【使用指导】

一个统计节点标识了连接数限制进行统计和限制的一个对象（一个连接或一类连接），包括该连接的报文特征（源/目的IP地址、服务端口号、传输层协议类型等）、对该连接所应用的连接限制策略、当前连接数目的统计值，以及当前是否允许创建新的连接。

· 如果指定source、destination、service-port中的一个或多个参数，则表示将按照多个条件来显示统计节点列表，比如指定了source 和destination，则显示同时符合指定源IP地址和目的IP地址的统计节点列表。.

· 如果不指定source、destination、service-port中任何一个参数，则表示显示所有的统计节点列表。

【举例】

# 显示接口GigabitEthernet0/1上的所有IPv4连接数限制统计节点列表。

<Sysname> display connection-limit stat-nodes interface gigabitethernet 0/1

Src IP address : 100.100.100.100

Dst IP address : 200.200.200.200

Tunnel ID : 1234567890

Service : tcp/12345

Limit rule ID : 12345(ACL: 3001)

Sessions threshold Hi/Lo: 1100000/980000

Sessions count : 1050000

New session flag : Permit

# 显示接口Vlan-interface2上的所有IPv4连接数限制统计节点列表。

<Sysname> display connection-limit stat-nodes interface vlan-interface 2

Src IP address : 100.100.100.100

Dst IP address : 200.200.200.200

Tunnel ID : 1234567890

Service : tcp/12345

Limit rule ID : 12345(ACL: 3001)

Sessions threshold Hi/Lo: 1100000/980000

Sessions count : 1050000

New session flag : Permit

# 显示全局的IPv4连接数限制统计节点个数。

<Sysname> display connection-limit stat-nodes global count

Current limit statistic nodes count is 5.

表1-2 display connection-limit stat-nodes命令显示信息描述表

字段	描述
Src IP address	源IP地址
Dst IP address	目的IP地址
Tunnel ID	DS Lite隧道ID，“--”表示不属于任何DS Lite Tunnel
Service	协议名及服务端口号。如果不是知名协议则显示为“unknown(xx)”，xx为协议编号，此时不显示服务端口号。其中，对于ICMP协议，括弧内的数字为ICMP的type和code字段组合表示的十六进制数所对应的十进制数
Limit rule ID	匹配的规则编号，括号里为匹配的ACL编号
Sessions threshold Hi/Lo	连接数限制的上限值及下限值
Sessions count	当前连接计数
New session flag	是否允许创建新连接，Permit表示允许创建，Deny表示不允许创建

【相关命令】

· connection-limit policy

· connection-limit apply global policy

· connection-limit apply policy

· limit

1.1.7 limit

limit命令用来配置连接数限制规则。

undo limit命令用来删除指定的连接数限制规则。

【命令】

IPv4连接数限制策略视图：

limit limit-id acl { acl-number | name acl-name } [ per-destination | per-service | per-source ] * amount max-amount min-amount

undo limit limit-id

IPv4连接数限制策略视图

limit-id：连接数限制规则编号，取值范围1~256。

acl：指定用于匹配用户范围的ACL。该连接限制规则仅对匹配ACL规则的用户连接数进行统计和限制。

acl-number：引用的ACL编号，取值范围为2000～3999。

name acl-name：引用的ACL名称。

per-destination：表示按目的地址进行统计和限制。

per-service：表示按服务（即按传输层协议和服务端口）进行统计和限制。

per-source：表示按源地址进行统计和限制。

per-ds-lite-b4：表示按照DS-Lite隧道的B4设备IPv6地址来进行统计和限制。该参数仅在IPv4连接数限制策略视图下存在。

max-amount：指定的连接数上限，取值范围为1～1000000。某范围或某种类型的连接数值超过此值时，用户将不能建立新的连接。

min-amount：指定的连接数下限，取值范围为1～1000000，不能大于max-amount的取值。连接数的统计值降到此值之下时，允许用户建立新的连接。

【使用指导】

每个连接数限制策略中可以定义多个规则，每个规则中需要指定引用的ACL、规则的类型以及统计的上下门限值。对于per-destination、per-source、per-service类型，可以在一条规则中单独指定其中之一或指定它们的组合。例如，同时指定per-destination和per-source，就表示同时按照连接的报文源地址和目的地址进行统计和限制，具有相同源和目的的连接属于同一类连接，该类连接的数目将受到指定的阈值的限制。对于per-ds-lite-b4类型，只能在一条规则中单独指定。

需要注意的是：

· 同一个连接数限制策略中的不同规则必须引用不同的ACL。

· 如果per-destination、per-service、per-source三个参数都不指定，则表示与本规则引用的ACL相匹配的所有连接将整体受到指定的阈值限制。

· per-ds-lite-b4参数用于限制DS-Lite隧道每个B4设备连接的IPv4用户连接数。

· 在DS-Lite隧道组网环境中，若AFTR设备上采用了Endpoint-Independent Mapping模式的NAT配置，则要基于B4设备来限制从IPv4外网主动访问IPv4内网的连接，配置了per-ds-lite-b4类型规则的连接数限制策略必须应用在DS-Lite隧道接口上或者应用在全局。

· 对设备上建立的连接与某连接数限制策略进行匹配时，将按照规则编号从小到大的顺序依次遍历该策略中的所有规则，直到找到一条匹配的规则为止。

· 当引用的ACL内容发生改变时，设备将按照新的连接数限制策略重新对已有连接进行统计和限制。

【举例】

# 在lPv4连接数限制策略1中创建一条规则，规则编号为1，引用ACL 3000，对匹配ACL 3000的连接同时按照报文的源地址和目的地址进行统计和限制，连接数的上限值为2000、下限值为1800。该规则用于限制192.168.0.0/24网段的每台主机最多只能同时向外网的同一个目的IP地址发起2000条连接，超过2000条时，需要等待连接数下降到1800以下之后，才允许新建连接。

<Sysname> system-view

[Sysname] acl advanced 3000

[Sysname-acl-ipv4-adv-3000] rule permit ip source 192.168.0.0 0.0.0.255

[Sysname-acl-ipv4-adv-3000] quit

[Sysname] connection-limit policy 1

[Sysname-connlmt-policy-1] limit 1 acl 3000 per-destination per-source amount 2000 1800

【相关命令】

· connection-limit

· display connection-limit