Iptables — ограничени по количеству соединений на порт в минуту

Здравствуйте,

Подскажите, пожалуйста, как правильней будет ограничить соединений по порту с vps на ноде. Имеем:

Ноду с 50 vps. У VPS виртуальные интерфейсы vnet. Мост реализован при помощи ebtables.

Iptables рулит сетевыми правилами на ноде, за исключением моста.

Требуется: ограничить соединение от источника (наши подсети vps) по 25 порту в 1 минуту времени.

К примеру лимит 100 соединений в минуту - если больше дроп, если меньше ограничение не срабатывает. Но если сработало, то в следующую минуту счетчик должен сброситься и все по новой. Превысил 100 - дроп, на следующую минуту сброс счетчика и так далее.

В эту минуту дропнуться.

В след минуту такой же лимит.

Средствами iptables

Пример то, что стоит сейчас:

-A FORWARD -s 11.0.0.0/8 -p tcp --dport 25 -m state --state NEW -m hashlimit --hashlimit-name BLOCK --hashlimit-mode srcip --hashlimit-above 1/m --hashlimit-burst 200 -j LOG --log-prefix "25port: " 

-A FORWARD -s 11.0.0.0/8 -p tcp --dport 25 -m state --state NEW -m hashlimit --hashlimit-name BLOCK --hashlimit-mode srcip --hashlimit-above 1/m --hashlimit-burst 300 -j DROP 

-A FORWARD -p tcp --syn --dport 25 -j ACCEPT

-m hashlimit --hashlimit-name BLOCK --hashlimit-mode srcip --hashlimit-above 200/m --hashlimit-burst 200

Как мне кажется.