文档章节

nf_conntrack: table full, dropping packet. 终结篇

kisops
 kisops
发布于 2013/08/07 18:25
字数 1345
阅读 2.7W
收藏 17

    “连接跟踪表已满,开始丢包”!相信不少用iptables的同学都会见过这个错误信息吧,这个问题曾经也困扰过我好长一段时间。此问题的解决办法有四种(nf_conntrack 在CentOS 5 / kernel <= 2.6.19中名为 ip_conntrack ):

一、关闭防火墙。 简单粗暴,直接有效

chkconfig iptables off 
chkconfig ip6tables off 
service iptables stop 
service ip6tables stop  
  切记:在防火墙关闭状态下,不要通过iptables指令(比如 iptables -nL)来查看当前状态!因为这样会导致防火墙被启动,而且规则为空。虽然不会有任何拦截效果,但所有连接状态都会被记录,浪费资源且影响性能并可能导致防火墙主动丢包!

二、加大防火墙跟踪表的大小,优化对应的系统参数

  1、状态跟踪表的最大行数的设定,理论最大值 CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32)

    以64G的64位操作系统为例,CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152

    即时生效请执行:

sysctl –w net.netfilter.nf_conntrack_max = 2097152

  2、其哈希表大小通常为总表的1/8,最大为1/2。CONNTRACK_BUCKETS = CONNTRACK_MAX / 8

    同样64G的64位操作系统,哈希最佳范围是 262144 ~ 1048576 。

    运行状态中通过 sysctl net.netfilter.nf_conntrack_buckets 进行查看,通过文件 /sys/module/nf_conntrack/parameters/hashsize 进行设置

    或者新建 /etc/modprobe.d/iptables.conf ,重新加载模块才生效:

options nf_conntrack hashsize = 262144

  3、还有些相关的系统参数`sysctl -a | grep nf_conntrack`可以调优(/etc/sysctl.conf ):

net.netfilter.nf_conntrack_max  =   1048576  
net.netfilter.ip_conntrack_tcp_timeout_established  =   3600  
net.netfilter.nf_conntrack_tcp_timeout_close_wait  =   60  
net.netfilter.nf_conntrack_tcp_timeout_fin_wait  =   120  
net.netfilter.nf_conntrack_tcp_timeout_time_wait  =   120 

三、使用祼表,添加“不跟踪”标识。如下示例更适合桌面系统或随意性强的服务器。因为它开启了连接的状态机制,方便和外部通信。修改 /etc/sysconfig/iptables 文件:

*raw 
# 对TCP连接不启用追踪,解决ip_contrack满导致无法连接的问题 
-A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 22 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 21 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 11211 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 60000:60100 -j NOTRACK 
-A PREROUTING -p tcp -s 192.168.10.1 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 22 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 21 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 11211 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 60000:60100 -j NOTRACK 
-A OUTPUT -p tcp -s 192.168.10.1 -j NOTRACK 
COMMIT 
*filter 
# 允许ping 
-A INPUT -p icmp -j ACCEPT 
# 对本地回路、第5张网卡放行 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth4 -j ACCEPT 
# 连接状态跟踪,已建立的连接允许传输数据 
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT 
# filter表里存在但在raw里不存在的,默认会进行连接状态跟踪 
-A INPUT -s 192.168.10.31 -p tcp --dport 2669 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT

或者干脆对所有连接都关闭跟踪,不跟踪任何连接状态。不过规则就限制比较严谨,进出都需要显式申明。示例 /etc/sysconfig/iptables :

*raw
# 对TCP/UDP连接不启用追踪,解决nf_contrack满导致无法连接的问题
-A PREROUTING -p tcp -j NOTRACK
-A PREROUTING -p udp -j NOTRACK
-A OUTPUT -p tcp -j NOTRACK
-A OUTPUT -p udp -j NOTRACK
COMMIT
*filter
# 允许ping
-A INPUT -p icmp -j ACCEPT
# 对本地回路和eth1放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
# 只允许符合条件的连接进行传输数据
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --sport 80 -j ACCEPT
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --sport 123 -j ACCEPT
# 出去的包都不限制
-A OUTPUT -p tcp -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
# 输入和转发的包不符合规则的全拦截
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

  效果如下图:

四、删除连接跟踪模块`lsmod | grep nf_conntrack`,不使用连接状态的跟踪功能。

  1、删除nf_conntrack和相关的依赖模块,示例:

rmmod nf_conntrack_ipv4 
rmmod nf_conntrack_ipv6 
rmmod xt_state 
rmmod xt_CT 
rmmod xt_conntrack 
rmmod iptable_nat 
rmmod ipt_REDIRECT 
rmmod nf_nat 
rmmod nf_conntrack

  2、禁用跟踪模块,把它加到黑名单(/etc/modprobe.d/blacklist.conf ):

# 禁用 nf_conntrack 模块 
blacklist nf_conntrack 
blacklist nf_conntrack_ipv6 
blacklist xt_conntrack 
blacklist nf_conntrack_ftp 
blacklist xt_state 
blacklist iptable_nat 
blacklist ipt_REDIRECT 
blacklist nf_nat 
blacklist nf_conntrack_ipv4

  3、去掉防火墙里所有和状态相关的配置(比如state状态,NAT功能),示例:

*filter 
# 允许ping 
-A INPUT -p icmp -j ACCEPT 
# 对本地回路和第2张网卡放行 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth1 -j ACCEPT 
# 对端口放行 
-A INPUT -p tcp --dport 1331 -j ACCEPT 
# 对IP放行 
-A INPUT -s 192.168.10.31 -j ACCEPT
 
#允许本机进行DNS查询
 
-A INPUT -p udp --sport 53 -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT

    另外,防火墙的配置文件最好也改下,不要加载任何额外模块(/etc/sysconfig/iptables-config):

IPTABLES_MODULES="" # 不需要任何附加模块
IPTABLES_MODULES_UNLOAD="no" # 避免iptables重启后sysctl中对应的参数被重置为系统默认值
IPTABLES_SAVE_ON_STOP="no"
IPTABLES_SAVE_ON_RESTART="no"
IPTABLES_SAVE_COUNTER="no"
IPTABLES_STATUS_NUMERIC="yes"
IPTABLES_STATUS_VERBOSE="no"
IPTABLES_STATUS_LINENUMBERS="no"

    往往我们对连接的跟踪都是基于操作系统的(netstat / ss ),防火墙的连接状态完全是它自身实现产生的。

    总结:防火墙有条件还是交给上层设备完成会更好,使用防火墙一定要做调优;如果不需要防火墙的跟踪功能,规则简单的可以开启NOTRACK选项,条件允许的情况下就删除它吧!

© 著作权归作者所有

kisops
粉丝 29
博文 33
码字总数 21717
作品 0
珠海
系统管理员
私信 提问
加载中

评论(3)

胡凯
胡凯
666666
Terry_Zheng
Terry_Zheng
http://jaseywang.me/2012/08/16/%E8%A7%A3%E5%86%B3-nf_conntrack-table-full-dropping-packet-%E7%9A%84%E5%87%A0%E7%A7%8D%E6%80%9D%E8%B7%AF/
《解决 nf_conntrack: table full, dropping packet 的几种思路》
http://jaseywang.me/2012/11/18/%E9%80%9A%E8%BF%87-modprobe-%E5%BD%BB%E5%BA%95%E7%A6%81%E7%94%A8-netfilter/
《通过 modprobe 彻底禁用 netfilter》

我没有干这么利索,CentOS 5 下我禁用了
rmmod ip_nat
rmmod iptable_nat
rmmod ip_conntrack
这 3 个模块就可以了。
乌鸦哥
乌鸦哥
Linux NAT哈希表满导致服务器丢包

发现ECS Linux服务器出现间歇性丢包的情况,通过tracert、mtr等手段排查,外部网络未见异常。 同时,如下图所示,在系统日志中重复出现大量如下错误信息: Jun 13 15:20:23 web3 kernel: nfc...

极速前行
2016/06/13
0
0
haproxy压测问题锦集

更多博文关注个人博客: http://cloudbps.com 环境:centos6u3 haproxy 1.4.4 通过dmesg看到一下信息: nf_conntrack: table full, dropping packet. nf_conntrack: table full, dropping pa......

Tom哥
2013/12/03
0
0
Ubuntu 内核报错:nf_conntrack: table full, dropping packet

这两天OSChina会有卡顿,卡顿的同时伴随着监控图裂,也就是网络不好导致的数据获取不到造成的监控图断裂的现象,今天下午又来了,而且也比较严重,查看日志,发现内核报错 ``` Nov 30 14:54...

Zoker
2016/11/30
616
3
DevOps: 一例高负载多并发服务器连接池满的异常排解过程

今天是三八国际妇女节, 也是中国农历二月二/龙抬头的节日,恭祝女同胞节日快乐!恭祝中国善良的人们都抬头见喜! 好一阵子没更新Blog,今天也借这喜气冲刷一下往日的阴霾,经过多日的观察,终...

wadelau
2019/03/13
20
0
nf_conntrack: table full, dropping packet 连接跟踪表已满,开始丢包 的解决办法

nf_conntrack: table full, dropping packet 连接跟踪表已满,开始丢包 的解决办法 中午业务说机器不能登录,我通过USM管理界面登录单板的时候发现机器没有僵死,然后一看日志,g一下子就明白...

a591244761
2014/04/11
0
0

没有更多内容

加载失败,请刷新页面

加载更多

【从零开始学Java笔记】Java基础

大家可以关注作者的账号,关注从零开始学Java笔记文集。也可以根据目录前往作者的博客园博客进行学习。本片文件将基于黑马程序员就业班视频进行学习以及资料的分享,并记录笔记和自己的看法。...

osc_q7wo0k6s
25分钟前
34
0
输入npm install 报错node-sass@4.13.0 postinstall:`node scripts/build.js` Failed at the node-sass@4.13.0

npm config set sass_binary_site=https://npm.taobao.org/mirrors/node-sass

-乐天-
26分钟前
27
0
【从零开始学Java笔记】多态

大家可以关注作者的账号,关注从零开始学Java笔记文集。也可以根据目录前往作者的博客园博客进行学习。本片文件将基于黑马程序员就业班视频进行学习以及资料的分享,并记录笔记和自己的看法。...

osc_9na1lmr9
26分钟前
32
0
各种国内镜像源

composer国内源: 全局:composer config -g repo.packagist composer https://packagist.phpcomposer.com (来源:https://pkg.phpcomposer.com/) python国内源: 新建文件 ~/.pip/pip.con......

四季变幻
26分钟前
28
0
【从零开始学Java笔记】ArrayList类、Collection类和List类

大家可以关注作者的账号,关注从零开始学Java笔记文集。也可以根据目录前往作者的博客园博客进行学习。本片文件将基于黑马程序员就业班视频进行学习以及资料的分享,并记录笔记和自己的看法。...

osc_0g0vbf0z
27分钟前
29
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部