iptables做SNAT的问题

orphen

iptables在做SNAT时，使用一个外网IP地址可以对内代理多少IP上网？
能够承受多大流量？对于1000左右的节点上网，机器硬件要求多少？

有没有人有经验？

springwind426

如果只是做SNAT的话，对机器的要求应该很低。
我以前用过dell2650(双CPU，2G内存)做过，大家提供4000节点。因为我还启用了squid，所以机器要求高点儿。我的系统占用平均只有30％。
如果不启用代理，找个入门级的服务器就可以了。条件必须是网卡要好。最好是3com或者intel的网卡。

orphen

现在的情况是单Opteron 242（好像是），1GB内存
连接跟踪数我设定到262144，剩余内存一般在130-150MB
感觉系统优点紧张

springwind426

你最好启用防火墙，将常见扫描端口封掉，是在nat表的PREROUTING链中。

还有，因为现在有以80端口为扫描对象的病毒，因此，你要设置一下连接数限制，比如，每台主机基于80端口的连接数每秒不能超过10，这个数字你可以根据实际情况调整。

这样，有许多扫描行为不会被保存状态，因此连接跟踪数会少很多。

orphen

因为内部网络还是有些作为服务器来应用的，另外在上一级路由中已经把一些普通的135-139、445等端口过滤了，所以这个上面根本没做什么防火墙，你对还需要屏蔽的端口有什么建议？

连接数限制需要单独编译connlimit模块，因为使用的是AS4官方的内核，就没有加入