通常在一些网站中,为了防止恶意大量的访问和超大量访问导致内存占满,会对单个链接的连接数和总链接数做出一个限制。
以本FTP服务端为例,假设每个客户链接,我们都需要两个进程来处理它,假设了一个客户需要分配总共1M的栈内存出来,1000个链接,接近1G的内存就没有了。另一方面,如果单个ip大量链接服务端,会占用大量的带宽、内存和文件句柄,实际上每个用户(ip)只需要两三个链接就可以解决问题,所以对单个ip连接数进行限制,有助于维持服务端的性能稳定和防止恶意访问。
在系统自带vsftpd中有如下的配置文件
max_clients=300 最大客户端连接数为300 max_per_ip=10 每个IP最大连接数
现在我们知道,我们需要一个数据结构来存储ip和ip对应的链接数,所以我们首先想到的就是用键值对模型,即每个ip对应一个链接数,并存储起来,并且我们需要能够快速插入、删除和查找,适合的就是树和hash表。但是连接数真的能解决问题吗?
<!-- more -->
首先,何时链接,我们何时增加一个连接数这个毋容置疑,但是,我们要如何知道这个链接结束了呢?我们可以在进程结束的时候,获得进程结束的信号,从而感知到一个进程的结束,所以这个时候,我们就不能单单依靠连接数,而是依靠进程的pid来对应ip。
所以我们需要两个hash表,一个hash表是pid to ip,另一个表是ip to conn。
至于hash_table我们可以自己定制写一个,也可以用stl库中的,但是还是自己写一个吧,我们只需要用到hash_table的部分功能。
下面的函数只是对主要的成员函数进行注释,方便理解(这里并没用泛型,而是借鉴了redis的实现方式用void *实现的hashtable)。
void* hash_lookup_entry(void* key, unsigned int key_size);
//寻找并返回key所对应的value, 如value为空,则返回空。
void hash_add_entry(void *key, unsigned int key_size,
void *value, unsigned int value_size);
//新增一个key-value
void hash_free_entry(void *key, unsigned int key_size);
//删除一个key-value
下面我们需要两个表
static hash* s_ip_conn_hash;
static hash* s_pid_ip_hash;
在接受链接成功后,我们可以获得一个unsigned int类型的ip,我们可以根据这个ip,找到ip所对应的p_count,再对p_count进行操作就完成了ip-conn的创建和增长。
unsigned int ip = addr.sin_addr.s_addr;
sess.num_this_ip = handle_ip_count(&ip);
......
unsigned int handle_ip_count(void *ip)
{
unsigned int count;
unsigned int *p_count = (unsigned int*)s_ip_conn_hash->hash_lookup_entry(ip, sizeof(unsigned int));
if (p_count == NULL)
{
count = 1;
//不存在即创建
s_ip_conn_hash->hash_add_entry(ip, sizeof(unsigned int), &count, sizeof(unsigned int));
}
else
{
//存在便增1,不过没有考虑到原子操作,失误失误
count = *p_count;
++count;
*p_count = count;
}
return count;
}
为了减少主进程的工作,我们将检测链接过限制放到子进程中。
if (pid == 0) //子进程
{
...
check_limits(&sess);
...
}
void check_limits(session_t *sess)
{
if (tunable_max_clients > 0 && sess->num_clients > tunable_max_clients)
{
ftp_reply(sess, FTP_TOO_MANY_USERS, "There are too many connection, please try later");
exit(EXIT_FAILURE);
}
if (tunable_max_per_ip > 0 && sess->num_this_ip > tunable_max_per_ip)
{
ftp_reply(sess, FTP_IP_LIMIT, "There are too many connection,from internet address");
exit(EXIT_FAILURE);
}
}
在链接数的删除上,我们需要明白一个流程。
1.创建/增加 ip-value
2.在父进程中创建pid-ip键值对
3.在父进程中检测到子进程的退出
4.查找pid对应的ip,删除ip对于的两个键值对。
那如何实现检测呢?我们可以设置一个信号,当检测到SIGCHLD时候,执行操作四。
signal(SIGCHLD, handle_sighid);
//接受链接后
if (pid == 0) //子进程
{
//防止子进程的子进程退出的干扰
signal(SIGCHLD, SIG_IGN);
}
//检测到子进程退出后执行
void handle_sighid(int sig)
{
pid_t pid;
while ((pid = waitpid(-1, NULL, WNOHANG)) > 0)
{
--s_children;
unsigned int*ip = (unsigned int *)s_pid_ip_hash->hash_lookup_entry(&pid, sizeof(pid)); //查找pid对于的ip
if (ip == NULL)
{
continue;
}
drop_ip_count(ip); //对ip-value减一或者删除操作
s_pid_ip_hash->hash_free_entry(&pid, sizeof(pid));
}
}
void drop_ip_count(void *ip)
{
unsigned int count;
unsigned int *p_count = (unsigned int *)s_ip_conn_hash->hash_lookup_entry(ip, sizeof(unsigned int));
if (p_count == NULL)
{
return;
}
count = *p_count;
if (count <= 0)
{
s_ip_conn_hash->hash_free_entry(ip, sizeof(unsigned int));
return;
}
--count;
*p_count = count;
if (count == 0)
{
s_ip_conn_hash->hash_free_entry(ip, sizeof(unsigned int));
}
}
完整的项目在 :https://github.com/angeltears/ftp
欢迎大家讨论和分享问题。