$i -I FORWARD -s IP#1 tcp -m connlimit --connlimit-above 20 -j DROP

$i -F
$i -F -t nat
...itd

$IPTABLES -A FORWARD -p tcp --syn -s $IP -m connlimit --connlimit-above $MAX_CONN -j REJECT
$IPTABLES -A FORWARD -p tcp --syn -d $IP -m connlimit --connlimit-above $MAX_CONN -j REJECT

[root@erni erni]# ./poloczenia
erni
ilość procesów: 36
ilość połączeń ESTABLISHED:
Piotrek_Klaja
Anka_Rąpel
Janusz_Nocula
Staszek_Swiergula
Krzysiek_Napora: 0
ilość połączeń ESTABLISHED: Michał_Jarosz: 2
ilość połączeń ESTABLISHED: Krzysiek_Jacoszek: 1
ilość połączeń ESTABLISHED: Ernest_Bobik: 2
ilość połączeń ESTABLISHED: Staszek_Wider: 2
ilość połączeń ESTABLISHED: Andrzej_Furlaga: 0
ilość połączeń ESTABLISHED: Piotrek_Klaja: 3
ilość połączeń ESTABLISHED: Anka_Rąpel: 0
ilość połączeń ESTABLISHED: Janusz_Nocula: 5
ilość połączeń ESTABLISHED: Staszek_Swiergula: 2
ilość połączeń ESTABLISHED: Krzysiek_Napora: 0
ilość połączeń ESTABLISHED: Anka_Dziwak: 0
ilość połączeń ESTABLISHED: Karol_Rąpel: 0
ilość połączeń ESTABLISHED: Franciszek_Wojtowicz: 0
ilość połączeń ESTABLISHED: Krzysiek_Folusz: 0
ilość połączeń ESTABLISHED: Zoska_Napora: 2
ilość połączeń ESTABLISHED: Piotrek_Brania: 0
ilość połączeń ESTABLISHED: Maciek_Wiecheć: 0
ogółem w tablicy ip_conntrack połączeń: 92
Procesy, które nie śpią: 1
Użycie swap 0
Wolny swap 32756


ilość hostów aktywnych: 9
Maksymalna ilość hostów: 18
System pracuje już:
55 min

#!/bin/sh
# firewall 0.1-2004.11.08 Zciech
#
# W podstawowej wersji caly ruch z inerfejsow wewnetrznych jest dopuszczony i maskowany
# ruch z internetu zabroniony poza pakietami "powracajacymi" juz nawiazanych polaczen
# i polaczen na strone www (port 80 tcp) oraz pingi 1/s
# Wywolanie z parametrem stop otwiera wszystko i wlacza maskarade

. /etc/rc.conf

i=`which iptables`

# Zmienne pobierane z rc.conf
# EXTIF="ppp0" # Interfejs do inetu
# CONNECTION="neorj" # Rodzaj polaczenia
# NETWORK=1 # Wlaczenie maskarady
 
case $1 in

start)
    # Ladujemy moduly
    for module in ip_tables ip_nat_ftp ip_nat_irc iptable_nat ip_conntrack ip_conntrack_ftp ip_conntrack_irc; do
   /sbin/modprobe $module
    done
      
    if [ -e /proc/sys/net/ipv4/tcp_ecn ];then
   echo 0 > /proc/sys/net/ipv4/tcp_ecn
    fi
   
    echo 1 > /proc/sys/net/ipv4/ip_forward
   
    echo 30 > /proc/sys/net/ipv4/netfilter/ip_conntrack_generic_timeout
   
    echo 760 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
   
    echo 10 > /proc/sys/net/ipv4/netfilter/ip_conntrack_udp_timeout

    echo 20 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_close_wait
   
    echo 20 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_fin_wait
   
    echo 800 > /proc/sys/net/ipv4/tcp_keepalive_time
   
   
    if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
   echo 1 > /proc/sys/net/ipv4/tcp_syncookies
    fi

    for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
   echo  1 > $f
    done
   
    $i -I FORWARD -s 0.0.0.0 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.1 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.2 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.3 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.4 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.6 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.8 -p tcp -m connlimit --conlimit-above 20 -j DROP
    $i -I FORWARD -s 0.0.0.9 -p tcp -m connlimit --conlimit-above 20 -j DROP
          
    $i -F
    $i -F -t nat
                 
    $i -P INPUT DROP
    $i -P FORWARD DROP
    $i -P OUTPUT ACCEPT
...