Limit nftables: условие частоты не является очередью передачи
Фотография конкретного исполнения не приложена.
Limit определяет совпадение по модели token bucket. Его можно использовать в разрешающем правиле, журналировании или другой конструкции, поэтому смысл зависит от остальных действий. Одна строка rate не описывает, что система сделает с превышающим потоком.
По справочнику обычный limit совпадает до достижения заданного ограничения, а over меняет условие на превышение. Burst влияет на ёмкость bucket и допуск всплеска. Это не буфер пакетов, которые будут позднее переданы с выровненной скоростью, и не самостоятельный механизм гарантированной пропускной способности приложения.
Если условие limit не совпало, нужно проследить дальнейшую политику. Пакет может попасть к следующему правилу и быть принят либо отброшен там. Ограничение log также не обязательно ограничивает полезный трафик: оно может сократить только диагностические записи. Эти требования нельзя подменять друг другом при устранении переполненного журнала.
В приёмке проверяют малый поток, короткий всплеск и длительное превышение. Сопоставляют число записей, счётчики и фактическое решение фильтрации. Результат оценивают в выбранных единицах пакетов или байтов и интервале. Принятое значение rate не является доказательством того, что excess-пакеты задержаны, отброшены или гарантированно запрещены всей системой.
Основание — Official nft(8) HTML snapshot; exact release1.1.7 archive not obtained, разделы LIMIT STATEMENT; LOG STATEMENT; rule evaluation. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — сохранённый HTML-справочник nft(8); это снимок изменяемой страницы, а не руководство из архива 1.1.7. Фактические версии nft, ядра и рабочие правила не проверялись; команды фильтрации не выполнялись.