Пусть есть пограничный маршрутизатор с настроенным межсетевым экраном (ip inspect)
Задача: сделать так, чтобы полуоткрытые (embryonic) TCP-сессии начинали удаляться при достижении общего порога в 1000 полуоткрытых сессий и одновременно 1-минутного (one-minute) порога в 1000 полуоткрытых сессий. Нижний порог (когда маршрутизатор должен перестать принудительно удалять полуоткрытые сессии) - 800 сессий

Нужно написать несколько строчек конфига.
Дерзайте!

ip inspect tcp max-incomplete low 800
ip inspect tcp max-incomplete high 1000
ip inspect one-minute low 800
ip inspect one-minute high 1000

Наверное так

Привожу контр-пример:

проходит 2 минуты, максимум достигает 1000, одноминутное кол-во едва домтигает 500 Но при этом удаление начнётся.


А надо, чтобы удаление началось только при выполнении обоих критериев

А то слишком просто, прям из конфиг-гайда

ммм.. ну решение то будет? :)

ip inspect tcp synwait-time 60
соотв если за минуту не получает ack на наш syn/ack embryonic рвется

Но по умолчанию tcp synwait-time is 30 sec. Соотвественно не совсем понятно, как "проходит 2 минуты, максимум достигает 1000, одноминутное кол-во едва домтигает 500".

кстати да
R2(config)#do sh run | s inspect
( вбил что хоть что то выводилось по sh ip inspect all )
ip inspect tcp max-incomplete host 30 block-time 0

R2(config)#do sh ip inspect all
Session audit trail is disabled
Session alert is enabled
one-minute (sampling period) thresholds are [unlimited : unlimited] connections
max-incomplete sessions thresholds are [unlimited : unlimited]
max-incomplete tcp connections per host is 30. Block-time 0 minute.
tcp synwait-time is 30 sec -- tcp finwait-time is 5 sec <---
tcp idle-time is 3600 sec -- udp idle-time is 30 sec
tcp reassembly queue length 16; timeout 5 sec; memory-limit 1024 kilo bytes
dns-timeout is 5 sec
R2(config)#

ip inspect synwait-time 60

Тогда будет одновременно.

i won i won ;p