我一直在尝试限制来自同一 IP 的服务器端口 80 的最大 TCP 连接数。我已使用 iptables 执行此任务：
-A INPUT -p tcp --dport 80 -m conntrack --ctstate ESTABLISHED -m connlimit --connlimit-above 24 --connlimit-mask 32 -j LOG_THROT
该规则将数据包发送到我的 LOG_THROT 链，我在那里记录它们并且 tcp 重置连接。
问题是，所有被记录的 IP（超出 24 个并行 http 连接规则）和在 apache 的访问日志中找到的 IP 似乎都是通过 google 推荐的合法用户，来自标准移动 ISP，如沃达丰等。他们都有一个共同点，那就是用户代理：
Mozilla/5.0（iPhone；CPU iPhone OS 11_3，类似 Mac OS X）AppleWebKit/605.1.15（KHTML，类似 Gecko）版本/11.0 Mobile/15E148 Safari/604.1
我想知道新的操作系统/浏览器是否有比标准 6 个并行连接更高的限制，它是否可能使用某种形式的网站上的链接预加载并产生额外的连接，或者它是某种欺骗 UA 的爬虫？
如果它是合法的，您建议安全连接数限制是多少？50，还是 100？
答案1
为什么不调整你的网络并使用 HTTP/2（最终是 HTTPS）
它们都使用单个多路复用连接，而不是 HTTP1.x 中的多个连接，不再需要域分片技术。
答案2
解决了。不过答案与最佳解决方案不同。最佳解决方案是 prosti 的答案。
实际情况是上述 Safari/iOS 不会重用保持活动连接。造成这种情况的原因可能有很多，互联网上充斥着关于这个主题的不同答案，甚至可能是最新版本中已弃用的功能。Apple 论坛对这个主题毫无用处。
因此，对于从网站加载的每个资产，它都会产生一个新的连接，但服务器保持连接活动 X 秒数最终会达到 iptables 规则的阈值。
对我有帮助的解决方案是在 httpd.conf 中添加 BrowserMatch 指令，该指令匹配所有 iphone/ipod 设备并关闭对它们的 keepalive 支持。
BrowserMatch "iPhone|iPad|iPod" nokeepalive
至于 Safari 可以产生的最大连接数，我发现有记录显示在某些错误情况下它会高达 15000！！(https://www.wiktorzychla.com/2017/06/http2-keep-alive-and-safari-browsers.html)。但在正常情况下，根据以下统计数据判断，每个域的值将更接近 4-8 个或 15-30 个分片：http://www.browserscope.org/?category=network&ua=Safari*＆v=3