iptables connlimit, praxe, nasazeni ?

[georgo23]

Zdravim nejak jsem brouzdal po netu a nasel jsem zde toto:
iptables -I FORWARD -p tcp -s 192.168.212.4 -m connlimit --connlimit-above 100 --connlimit-mask 32 -j REJECT --reject-with icmp-host-prohibited

Doufam ze jsem pochopil spravne nastaveni, jen lehce shrnu - omezujeme pocet spojeni pro jednu zdrojovou IP na hlavnim routru.
Takze, asi by to melo zatocit s ruznymi viry, p2p a podobne.Testnul jsem si to, funguje to vyborne,
da se rici(testnul jsem si to velice primitvne, pocet spojeni 2, a test otevreni vicero
stranek na jednou), ale mam k tomuto prosim paru dotazu.

1. Co UDP, zvladne to ?
2. Sit o poctu cca 1500 useru, neni problem pro toto sepsat script,
ale mam pocit ze kdyz se tam nasype dalsich 1500 pravidel, bude to papu pro CPU (byt hlavni
routr je vcelku sikovna masinka) - resil jsem pred rokem problem s FORWARDEM a abych ulehcil CPU
musel jsem udelat skupiny dle subnetu, tim jsem CPU pomohl temer o 35%.

3. Ma s tim nekdo realnou zkusenost v praxi ?
4. Kolik spojeni je fajn pro prumerneho ucastnika - a tady mam nejvetsi strach, mame pripojeny firmy skoly apod.

[hapi]

pokud nespecifikuješ zdrojovou adresu tak to tušim platí pro jednotliví IP podle tý masky co tam zadáváš. Pak stačí jedno pravidlo. Bohužel počet TCP spojení nikomu moc nevadí ale UDP jo, na to je to krátký.

[georgo23]

Zdrojova tam je -s , cilova tam neni -d --destination.
Z toho jsem mel strach, fakt to neumi UDP ..::( ... vlastne je to asi i logicke, jak by to poznal ze , ale slo by nastavit max. pocet spojeni udp za sec... ne ...?

[reset]

, ale slo by nastavit max. pocet spojeni udp za sec... ne ...?

a jak toho chces dosahnout ?