limite de conexoes: ip x portas

[nandop1240]

Pessoal, sei que o assunto limite de conexoes já foi muito discutido aqui, porém após ler varios tópicos e varios tutoriais, implantei o limite de conexoes por portas, ou seja:

/ip firewall filter
add action=drop chain=forward comment="Limite de Conexoes Simultaneas" \
connection-limit=20,32 disabled=no dst-port=1-52 protocol=tcp \
src-address-list=!sem-limite-conn tcp-flags=syn
add action=drop chain=forward comment="Limite de Conexoes Simultaneas" \
connection-limit=20,32 disabled=no dst-port=54-79 protocol=tcp \
src-address-list=!sem-limite-conn tcp-flags=syn

e assim por diante...

porem tambem vi limites de conexoes por ip

ip firewall filter
0 chain=forward src-address=192.168.105.2 protocol=tcp tcp-flags=syn packet-mark=!semlimite
connection-limit=10,32 action=drop


a minha duvida é?

Se eu fizer como no primeiro exemplo, estarei limitando o numero de conexoes por portas. Mas pra cada ip ?, ou seja cada ip conseguirá 20 conexoes na porta x, +20 conexoes na porta y , etc... ???


e o segundo caso?

se eu limitar por ip o cliente terá 20 conexoes somente? por exemplo:

10 conexoes na porta 80,
7 conexoes na porta 25
3 conexoes na porta 110.


totalizando 20 conexoes ???


se for isso, terei que criar uma regra pra cada ip ?

imagine um mk com 800 clientes , são 800 linhas ?


é isso mesmo ?

[iron]

No primeiro caso vc está limitando pra todos os clientes, menos quem estiver na src-address-list=sem-limite-conn.

No segundo caso, no seu exemplo, vc está limitando apenas para o IP em questão: 192.168.105.2

Mas se vc não quizer escrever uma regra pra cada IP vc tem a opção de marcar a sub-rede toda.

Tipo: 192.168.105.0/24 ou 192.168.0.0/16.

Abç,