单 IP 会话数限制是什么
在共享出口的网络里，公网地址与端口数量是有限的公共资源。个别主机如果产生大量并发会话（P2P 下载、扫描、失控脚本），会把地址池端口占满，其他用户的正常访问开始失败——带宽还有富余，但新建连接就是连不上。单 IP 会话数限制的作用就是给每台主机设一个并发上限，把这类行为的影响限制在个别主机范围内。
基本信息
| 作用 | 防止个别主机占满地址池端口，影响其他用户 |
|---|---|
| 限制粒度 | 按源地址或按源网段设置上限 |
| 配套措施 | 超限告警与异常主机定位流程 |
| 阈值来源 | 先采集典型主机的会话数基线，再上浮余量 |
| 复核周期 | 随业务变化定期复核，避免影响新上线的正常高并发业务 |
典型使用场景
- 办公网共享出口：抑制 P2P 与下载工具对其他用户的影响
- 宿舍或公共上网区域：防止单台设备占用过多会话
- 发现端口耗尽：定位到异常主机后临时限流
- 安全事件处置：被感染主机大量外连时限制其会话数
- 新业务上线评估：确认其会话特征是否会被阈值限制
- 容量与阈值复核：业务增长后重新评估合理上限
实施要点
实施要点
# 1. 先采集典型主机的会话数基线（工作日与高峰分别统计）
# 2. 阈值取基线上浮一定比例，保留正常业务波动空间
# 3. 按网段差异化设置：服务器网段与办公网段阈值不同
# 4. 超限时记录日志并可联动告警，便于定位异常主机
# 5. 观察超限告警分布，识别是普遍现象还是个别主机
# 6. 定期复核阈值，避免影响新上线的正常高并发业务阈值设置对照
| 现象 | 可能原因 | 调整方向 |
|---|---|---|
| 大量主机超限 | 阈值整体偏低 | 按基线数据上调阈值 |
| 个别主机长期超限 | 该主机存在异常行为 | 定位主机并处置，无需改阈值 |
| 服务器网段超限 | 服务器连接数天然高于终端 | 为服务器网段单独设置更高阈值 |
| 新业务上线后超限 | 业务模型为高并发 | 评估后为该网段设定专用阈值 |
阈值要按网段差异化：服务器的并发连接数天然远高于办公终端，用同一阈值既会误伤服务器，又管不住终端滥用。
阈值一刀切会让合法的高并发业务受影响，例如远程教学、直播推流与视频会议，调整前先确认业务特征。