防火墙限制性能参数

策略-安全防护- 连接数限制

可以啊

H3C SecPath V7 防火墙支持对并发最大会话数、每秒新建会话数做限制，可以做到例如每源 IP 最大并发 500 条，每秒新建 1000 条；支持按每源 IP、每目的 IP、网段、全局、带宽策略多个粒度控制。 两套实现方式：①connection‑limit连接数限制（全局 / 接口，推荐，防 DDoS）；②带宽流量策略 profile（结合安全策略，业务粒度控制）。

一、关键概念说明

1. 并发会话数 amount：当前同时存在的会话总数；达到上限后默认拒绝新建，等待旧会话老化降到下限min‑amount才允许新建。
2. 新建会话速率 rate：每秒最大允许创建会话数量。
3. per‑source：按每个源 IP 分别统计限制（用户场景最常用）；per‑destination按目的 IP；per‑service按服务端口H3C。
4. permit‑new：超过阈值不阻断新建，只打日志告警；不加该参数，超过阈值直接拒绝新建会话。

⚠️注意：已经建立的老会话不会被强制删除；只有新建连接被管控，需要等待会话老化释放。

方案一：connection‑limit 连接数限制（全局生效，推荐）

需求示例：匹配 ACL3000 的内网网段，每个源 IP 最大并发 500 会话，每秒新建 1000，超过直接拒绝新建。

参数解释：

• amount 500 400：单 IP 最大并发 500；超过 500 拒绝新建；会话数降到 400 以下恢复允许新建。
• rate 1000：单 IP 每秒最大新建会话 1000。 如果只想告警不阻断，末尾加上permit‑new。

查看与排错命令

方案二：带宽流量 profile（绑定安全策略，业务粒度控制）

适合：只对某一条安全策略的流量做会话限制，不是全局所有流量。

然后在安全策略的动作中引用该 profile，该策略匹配的流量才受会话限制。

WEB 界面路径：策略配置‑会话控制管理‑每 IP 会话限制，配置【会话限制（并发）】、【每秒新建限制】，效果等价 CLI 的 connection‑limitH3C。

三、容易踩坑的关键点

1. 不会踢掉已经存在的会话：配置完，如果某 IP 当前已经有 800 个会话（大于 500），现有 800 会话继续跑；只是不再允许新建会话，等会话老化降到 400 才恢复。
2. 区分设备整机规格：防火墙整机本身有硬件最大并发、整机最大新建规格；配置的限制值不能超过整机硬件规格。
3. IRF 堆叠环境：connection‑limit 会话统计是单机本地统计，不是跨设备同步；如果流量跨框，单 IP 统计会不准。
4. 虚设备 vsys：多虚拟防火墙场景，需要在对应 vsys 视图下配置，或者使用capability session maximum / capability session rate做 vsys 整机会话上限H3C。
5. 本机流量（防火墙自身 SSH/WEB）不受 connection‑limit 限制。