主页 / server / 问题 / 928970
Accepted
Vedran B
Asked: 2018-09-02 05:00:55 +0800 CST

iPhone OS 11_3 http 连接泛滥

  • 772

我一直在尝试将最大 TCP 连接限制到来自同一 IP 的服务器的端口 80。我已将 iptables 用于此任务：

-A INPUT -p tcp --dport 80 -m conntrack --ctstate ESTABLISHED -m connlimit --connlimit-above 24 --connlimit-mask 32 -j LOG_THROT

该规则将数据包发送到我的 LOG_THROT 链，我在其中记录它们并 tcp 重置连接。

问题是，所有被记录的 IP（溢出 24 个并行 http 连接规则）并在 apache 的访问日志中找到似乎是来自谷歌推荐的合法用户，来自标准移动 ISP，如沃达丰等。他们的共同点是用户代理，它是：

Mozilla/5.0 (iPhone; CPU iPhone OS 11_3 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/11.0 Mobile/15E148 Safari/604.1

我想知道新的操作系统/浏览器是否有比标准 6 个并行连接更高的限制，它是否可能使用某种在网站上找到的链接的预加载并产生额外的连接，或者它是某种欺骗 UA 的爬虫？

如果它是合法的，您对安全连接数限制有何建议？50、100？

apache-2.2

2 个回答

  1. Best Answer

    你为什么不调整你的网络并使用 HTTP/2（最终的 HTTPS）

    它们都使用单个多路连接，而不是 HTTP1.x 中的多个连接，不再需要域分片技术。

    • 0

  2. 解决了这个问题。答案与最佳解决方案不同。最好的解决方案是prosti的答案。

    发生的事情是前面提到的 Safari/iOS 没有重用保持连接。造成这种情况的原因可能很多，互联网上充斥着关于这个主题的不同答案，甚至可能是其最新版本中已弃用的功能。苹果论坛在这个话题上毫无用处。

    因此，对于它必须从网站加载的每项资产，它都会产生一个新连接，但服务器将 conns 保持活动 X 秒数最终达到 iptables 规则的阈值。

    帮助我的解决方案是在 httpd.conf 中添加 BrowserMatch 指令，该指令匹配所有 iphone/ipod 设备并关闭对它们的 keepalive 支持。

    BrowserMatch "iPhone|iPad|iPod" nokeepalive

    至于 Safari 可以产生的最大连接数，我发现在某些错误情况下它会高达 15000 ！（https://www.wiktorzychla.com/2017/06/http2-keep-alive-and-safari-browsers.html）。但在正常情况下，根据此统计信息，每个域或 15-30 分片的值会更多：http ://www.browserscope.org/?category=network&ua=Safari *&v=3

    • 0

相关问题