Linux中的conntrack命令深入解析

已于 2024-04-03 13:07:28 修改
阅读量1.6k 收藏 16
点赞数 12
分类专栏： 工具 Linux命令 文章标签： linux 运维 服务器
于 2024-04-03 11:34:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/IOT_AI/article/details/137338191
版权

在Linux网络管理和监控领域，conntrack命令是一个强大的工具，它提供了对netfilter连接跟踪系统的直接访问🔍。这篇文章将深入探讨conntrack的由来、底层原理、参数意义，以及其常见用法，并对返回结果的每个字段进行详细解释。

1. conntrack的由来📜

conntrack命令源于Linux的netfilter项目🌐，这是一个内置于Linux内核中的网络包处理模块。Netfilter支持各种网络相关任务，如包过滤（防火墙）🔥、网络地址转换（NAT）🔄和连接跟踪。conntrack工具最初设计的目的是为了管理和监视netfilter的连接跟踪系统，这个系统记录了所有经过防火墙的网络连接的状态信息。

2. 底层原理🔬

conntrack工具的底层原理基于netfilter的连接跟踪表📈，该表位于内核空间。每当网络包经过netfilter时，连接跟踪系统会检查包的信息，如源IP地址、目的IP地址、传输层协议（TCP/UDP）、端口等，并据此更新内部的连接跟踪表。这个表包含了所有活跃连接的状态信息，例如是否已建立连接、连接是否已关闭等。

3. 参数解释📋

conntrack命令支持多种参数，用于执行不同的操作✅：

  • -L, --list：列出连接跟踪表中的所有条目。
  • -G, --get：获取单个连接跟踪条目的信息。
  • -D, --delete：从连接跟踪表中删除条目。
  • -I, --create：创建一个新的连接跟踪条目。
  • -U, --update：更新已存在的连接跟踪条目。
  • -E, --event：监听连接跟踪事件。

4. conntrack返回结果解释

当你运行conntrack -L时，会看到类似以下的输出：

tcp      6 431999 ESTABLISHED src=192.168.1.2 dst=93.184.216.34 sport=34567 dport=80 [UNREPLIED] src=93.184.216.34 dst=192.168.1.2 sport=80 dport=34567

每个字段的含义如下📝：

  1. 协议：表示连接使用的协议，如tcp、udp等。

  2. 协议号：表示连接使用的协议号，如6代表tcp连接、17代表udp连接等。

  3. TCP状态计数器，可以理解为超时时间（Timeout）：表示连接条目在连接跟踪表中保持的剩余时间（秒）。当这个时间到达0时，条目将被自动从跟踪表中移除。

    • 对于TCP连接，该数字表示连接跟踪条目在内核连接跟踪表中的剩余时间。这个计时器的值会根据连接的状态（如ESTABLISHED、TIME_WAIT等）和配置的超时设置变化。计时器的值为零时，连接跟踪条目会从表中删除。
    • 对于非TCP连接（如UDP），因为UDP是无连接的，所以这个计数器代表连接跟踪条目在没有任何新的数据包更新的情况下，还可以在连接跟踪表中存活多长时间。

  4. 连接状态：描述TCP连接的当前状态。

    • ESTABLISHED：已建立连接
    • TIME_WAIT：等待足够的时间以确保远程TCP接收到连接终止请求的确认）
    • CLOSE_WAIT：CLOSE_WAIT状态表示对端（远程主机）已经关闭了连接的一半（发送了一个FIN包），并且本地端（你的计算机）已经接收到这个关闭请求，但是本地应用程序还没有关闭（或者说还没有调用close来关闭连接）。简单来说，CLOSE_WAIT状态意味着TCP连接在等待本地应用程序去关闭连接。
    • SYN_SENT：客户端已发送一个连接请求（SYN包）给服务器，并等待服务器的确认。这表示客户端已经开始了TCP三次握手过程
    • SYN_RECE：服务器收到客户端的SYN包，并回应一个SYN+ACK包，等待客户端的确认。这个状态表示服务器端已经响应了连接请求，正在进行三次握手的第二步。
    • FIN_WAIT_1：的一方（通常是客户端）决定关闭连接，并发送一个FIN包给对方，等待对方的确认。这标志着连接关闭过程的开始
    • FIN_WAIT_2：在发送FIN包并收到ACK包后，连接进入FIN_WAIT_2状态。在这个状态下，连接的关闭一方等待对方的FIN包。
    • CLOSE_WAIT：当一方收到另一方的FIN包，即对方请求关闭连接时，它会发送一个ACK包作为回应，并进入CLOSE_WAIT状态。在这个状态下，等待本地应用程序关闭连接。
    • CLOSING：在同时关闭的情况下，当双方几乎同时发送FIN包时，连接会进入CLOSING状态，表示双方都在等待对方的FIN包的确认。
    • LAST_ACK：当处于CLOSE_WAIT状态的一方发送FIN包，并等待对方的最终ACK包时，连接进入LAST_ACK状态。
    • TIME_WAIT：在收到对方的FIN包并发送ACK包后，连接进入TIME_WAIT状态。这个状态持续一段时间（2倍的MSL，最大报文生存时间），以确保对方收到了最终的ACK包。这也允许老的重复数据包在网络中消失。
    • CLOSED：连接完全关闭，两端都释放了连接的资源。

  5. 源地址（src）、目的地址（dst）：发送数据包的主机的IP地址。src=源IP dst=目的IP：表示数据包的源和目的IP地址。

  6. 源端口（sport）、目的端口（dport）：发送数据包的主机的端口号。sport=源端口 dport=目的端口：表示数据包的源和目的端口号。

  7. [UNREPLIED] / [ASSURED]：

    • [UNREPLIED]：表示从源到目标的连接请求尚未收到回复。
    • [ASSURED]：表示连接已经被确认，不会因为短时间内没有数据包而被清除。

  8. Mark（标记）：mark字段用于表示特定的连接跟踪条目被打上的标记（或称为标签）

    • 这个标记是一个整数值，通常由防火墙规则（如iptables）设置，用于对特定的数据包或连接进行分类或执行特定的处理逻辑。
    • 可能的取值：mark的取值范围是从0到4294967295（即2^32-1），其中0通常表示未被标记的连接。非零的值则根据实际的防火墙规则和策略而定，不同的值可以代表不同的分类或处理逻辑。例如，在某些配置中，mark可以用来区分经过VPN的流量、被特定规

  9. Use（使用）：use字段表示当前有多少个内核组件正在引用这个连接跟踪条目。简而言之，它表明这个连接跟踪条目的“使用度”或“引用计数”。

    • 可能的取值：use的取值是一个正整数，起始值至少为1，表示至少有一个引用（即连接跟踪本身）。如果有多个内核组件因为某些原因（如特定的路由或防火墙规则）同时需要跟踪这个连接，use的值会相应增加。一般而言，大多数情况下use的值会比较低，除非系统配置导致多个组件需要引用同一个连接跟踪条目。
4.1. 例一：查看所有TCP连接

命令：conntrack -L -p tcp

示例输出：

tcp 6 431999 ESTABLISHED src=192.168.1.100 dst=192.168.1.1 sport=34567 dport=22 [ASSURED] mark=0 use=1

解释：

  • 这是一个TCP连接，连接状态为ESTABLISHED。
  • 连接从源地址192.168.1.100的34567端口到目的地址192.168.1.1的22端口。
  • [ASSURED]表示连接已经被确认。
  • mark=0 use=1提供了额外的连接标记和使用信息。
4.2. 例二：查看所有UDP连接

命令：conntrack -L -p udp

示例输出：

udp 17 28 src=192.168.1.100 dst=192.168.1.255 sport=137 dport=137 [UNREPLIED] src=192.168.1.255 dst=192.168.1.100 sport=137 dport=137 mark=0 use=1

解释：

  • 这是一个UDP连接，通常用于网络广播。
  • 连接尝试从192.168.1.100到192.168.1.255，这是一个局域网广播地址。
  • [UNREPLIED]标志表示广播请求尚未收到回复。
4.3. 例三：监听连接跟踪事件

命令：conntrack -E

示例输出：实时显示连接跟踪事件，如新建（NEW）、更新（UPDATE）和销毁（DESTROY）事件。

root@linux-study:~# conntrack -E|head -n 20
[DESTROY] tcp      6 src=192.168.201.109 dst=182.75.23.156 sport=40175 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=40175 [ASSURED]
    [NEW] tcp      6 120 SYN_SENT src=192.168.201.109 dst=182.75.23.156 sport=40175 dport=443 [UNREPLIED] src=182.75.23.156 dst=172.30.3.222 sport=443 dport=40175
 [UPDATE] tcp      6 60 SYN_RECV src=192.168.201.109 dst=182.75.23.156 sport=40175 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=40175
 [UPDATE] tcp      6 432000 ESTABLISHED src=192.168.201.109 dst=182.75.23.156 sport=40175 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=40175 [ASSURED]
    [NEW] tcp      6 120 SYN_SENT src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 [UNREPLIED] src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526
 [UPDATE] tcp      6 60 SYN_RECV src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526
 [UPDATE] tcp      6 432000 ESTABLISHED src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526 [ASSURED]
    [NEW] tcp      6 120 SYN_SENT src=192.168.201.110 dst=182.75.23.156 sport=6069 dport=443 [UNREPLIED] src=182.75.23.156 dst=172.30.3.222 sport=443 dport=6069
 [UPDATE] tcp      6 60 SYN_RECV src=192.168.201.110 dst=182.75.23.156 sport=6069 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=6069
 [UPDATE] tcp      6 432000 ESTABLISHED src=192.168.201.110 dst=182.75.23.156 sport=6069 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=6069 [ASSURED]
 [UPDATE] tcp      6 120 FIN_WAIT src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526 [ASSURED]
 [UPDATE] tcp      6 60 CLOSE_WAIT src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526 [ASSURED]
 [UPDATE] tcp      6 30 LAST_ACK src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526 [ASSURED]
 [UPDATE] tcp      6 120 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=24526 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24526 [ASSURED]
    [NEW] tcp      6 120 SYN_SENT src=192.168.201.109 dst=182.75.23.156 sport=7378 dport=443 [UNREPLIED] src=182.75.23.156 dst=172.30.3.222 sport=443 dport=7378
 [UPDATE] tcp      6 60 SYN_RECV src=192.168.201.109 dst=182.75.23.156 sport=7378 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=7378
 [UPDATE] tcp      6 432000 ESTABLISHED src=192.168.201.109 dst=182.75.23.156 sport=7378 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=7378 [ASSURED]
 [UPDATE] tcp

解释：

  • 实时监控连接状态变化，有助于诊断网络问题和分析流量模式。
4.4. 例四：解释协议号和TCP状态计数器

考虑以下conntrack命令的输出示例：

tcp      6 431999 ESTABLISHED src=192.168.1.100 dst=93.184.216.34 sport=34567 dport=80 [ASSURED] mark=0 use=1
udp      17 170 src=192.168.1.100 dst=192.168.1.255 sport=137 dport=137 [UNREPLIED] src=192.168.1.255 dst=192.168.1.100 sport=137 dport=137 mark=0 use=1

在这个示例中：

  • 对于TCP连接，6是TCP的协议号，431999是剩余的计时器值（单位是秒），表示该TCP连接跟踪条目将在大约431999秒后从连接跟踪表中移除，除非有新的数据包更新此连接状态。
  • 对于UDP连接，17是UDP的协议号，170是剩余的计时器值，表示该UDP连接跟踪条目将在170秒后从连接跟踪表中移除，如果没有新的数据包到达更新状态。

5. 常见用法🛠️

5.1. 列出所有连接

命令：conntrack -L

root@linux-study:~# conntrack -L|head
tcp      6 75 TIME_WAIT src=192.168.201.108 dst=182.75.23.156 sport=12753 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=12753 [ASSURED] mark=0 use=1
tcp      6 29 TIME_WAIT src=192.168.201.104 dst=182.75.23.156 sport=22689 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=22689 [ASSURED] mark=0 use=1
tcp      6 2 CLOSE src=192.168.201.109 dst=182.75.23.156 sport=55566 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=55566 [ASSURED] mark=0 use=1
tcp      6 80 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=3815 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=3815 [ASSURED] mark=0 use=1
tcp      6 37 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=5126 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=5126 [ASSURED] mark=0 use=1
tcp      6 0 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=64894 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=64894 [ASSURED] mark=0 use=1
tcp      6 5 CLOSE src=192.168.201.109 dst=182.75.23.156 sport=15022 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=15022 [ASSURED] mark=0 use=1
tcp      6 12 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=46340 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=46340 [ASSURED] mark=0 use=1
tcp      6 21 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=62983 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=62983 [ASSURED] mark=0 use=1
tcp      6 47 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=63001 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=63001 [ASSURED] mark=0 use=1
root@linux-study:~#
5.2. 过滤特定协议的连接

只显示TCP连接条目命令：conntrack -L -p tcp

root@linux-study:~# conntrack -L -p tcp|head
tcp      6 40 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=40143 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=40143 [ASSURED] mark=0 use=1
tcp      6 46 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=49611 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=49611 [ASSURED] mark=0 use=1
tcp      6 96 TIME_WAIT src=192.168.201.108 dst=182.75.23.156 sport=51938 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=51938 [ASSURED] mark=0 use=1
tcp      6 25 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=45806 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=45806 [ASSURED] mark=0 use=1
tcp      6 10 TIME_WAIT src=192.168.201.108 dst=182.75.23.156 sport=39921 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=39921 [ASSURED] mark=0 use=1
tcp      6 23 TIME_WAIT src=192.168.201.108 dst=182.75.23.156 sport=21268 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=21268 [ASSURED] mark=0 use=1
tcp      6 114 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=64894 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=64894 [ASSURED] mark=0 use=1
tcp      6 59 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=24358 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=24358 [ASSURED] mark=0 use=1
tcp      6 39 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=20256 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=20256 [ASSURED] mark=0 use=1
tcp      6 49 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=51766 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=51766 [ASSURED] mark=0 use=1
root@linux-study:~#

只显示UDP连接条目命令：conntrack -L -p udp

root@linux-study:~# conntrack -L -p udp
udp      17 12 src=192.168.201.101 dst=172.30.3.22 sport=60049 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=60049 mark=0 use=1
udp      17 15 src=192.168.201.103 dst=172.30.3.22 sport=56998 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=56998 mark=0 use=1
udp      17 26 src=0.0.0.0 dst=255.255.255.255 sport=68 dport=67 [UNREPLIED] src=255.255.255.255 dst=0.0.0.0 sport=67 dport=68 mark=0 use=1
udp      17 7 src=172.22.77.130 dst=172.30.3.222 sport=500 dport=500 src=192.168.201.104 dst=172.22.77.130 sport=20500 dport=500 mark=0 use=1
udp      17 23 src=172.30.3.67 dst=172.30.3.255 sport=138 dport=138 [UNREPLIED] src=172.30.3.255 dst=172.30.3.67 sport=138 dport=138 mark=0 use=1
udp      17 24 src=192.168.201.112 dst=169.254.253.1 sport=23965 dport=514 [UNREPLIED] src=169.254.253.1 dst=172.30.3.222 sport=514 dport=23965 mark=0 use=1
udp      17 96 src=192.168.201.102 dst=172.30.3.22 sport=59242 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=59242 [ASSURED] mark=0 use=1
udp      17 16 src=192.168.201.103 dst=172.30.3.22 sport=36173 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=36173 [ASSURED] mark=0 use=1
udp      17 28 src=192.168.201.113 dst=169.254.253.1 sport=10503 dport=514 [UNREPLIED] src=169.254.253.1 dst=172.30.3.222 sport=514 dport=10503 mark=0 use=1
udp      17 2 src=172.30.3.138 dst=172.30.3.255 sport=50195 dport=21027 [UNREPLIED] src=172.30.3.255 dst=172.30.3.138 sport=21027 dport=50195 mark=0 use=1
udp      17 109 src=192.168.201.103 dst=172.30.3.22 sport=46015 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=46015 [ASSURED] mark=0 use=1
udp      17 65 src=192.168.201.101 dst=172.30.3.22 sport=34401 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=34401 [ASSURED] mark=0 use=1
udp      17 35 src=192.168.201.102 dst=172.30.3.22 sport=60903 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=60903 [ASSURED] mark=0 use=1
udp      17 118 src=172.22.77.130 dst=172.30.3.222 sport=4500 dport=4500 src=192.168.201.104 dst=172.22.77.130 sport=24500 dport=4500 [ASSURED] mark=0 use=1
udp      17 4 src=192.168.201.101 dst=91.189.91.157 sport=58566 dport=123 src=91.189.91.157 dst=172.30.3.222 sport=123 dport=58566 mark=0 use=1
udp      17 74 src=192.168.201.103 dst=172.30.3.22 sport=52279 dport=53 src=172.30.3.22 dst=172.30.3.222 sport=53 dport=52279 [ASSURED] mark=0 use=1
udp      17 27 src=192.168.201.110 dst=169.254.253.1 sport=63647 dport=514 [UNREPLIED] src=169.254.253.1 dst=172.30.3.222 sport=514 dport=63647 mark=0 use=1
udp      17 28 src=192.168.201.113 dst=169.254.253.1 sport=60794 dport=514 [UNREPLIED] src=169.254.253.1 dst=172.30.3.222 sport=514 dport=60794 mark=0 use=1
conntrack v1.4.5 (conntrack-tools): 18 flow entries have been shown.
root@linux-study:~#
5.3. 删除指定连接

命令：conntrack -D --src 192.168.1.2

5.4. 显示具有特定状态的连接条目

只显示处于ESTABLISHED状态的TCP连接：conntrack -L -p tcp --state ESTABLISHED

root@linux-study:~# conntrack -L -p tcp --state ESTABLISHED|head
tcp      6 431991 ESTABLISHED src=172.22.70.136 dst=172.30.3.222 sport=43000 dport=443 src=192.168.201.107 dst=172.22.70.136 sport=59443 dport=43000 [ASSURED] mark=0 use=1
tcp      6 431951 ESTABLISHED src=172.30.5.90 dst=172.30.3.222 sport=65130 dport=22 src=172.30.3.222 dst=172.30.5.90 sport=22 dport=65130 [ASSURED] mark=0 use=1
tcp      6 431996 ESTABLISHED src=192.168.201.2 dst=192.168.201.101 sport=37554 dport=6443 src=192.168.201.101 dst=192.168.201.2 sport=6443 dport=37554 [ASSURED] mark=0 use=1
tcp      6 431992 ESTABLISHED src=172.30.3.192 dst=172.30.3.222 sport=54920 dport=443 src=192.168.201.107 dst=172.30.3.192 sport=59443 dport=54920 [ASSURED] mark=0 use=1
tcp      6 431955 ESTABLISHED src=192.168.201.108 dst=182.75.23.156 sport=33186 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=33186 [ASSURED] mark=0 use=1
tcp      6 431999 ESTABLISHED src=192.168.201.109 dst=182.75.23.156 sport=16756 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=16756 [ASSURED] mark=0 use=1
tcp      6 431647 ESTABLISHED src=172.22.3.199 dst=172.30.3.222 sport=60828 dport=22 src=172.30.3.222 dst=172.22.3.199 sport=22 dport=60828 [ASSURED] mark=0 use=1
tcp      6 431998 ESTABLISHED src=192.168.201.108 dst=182.75.23.156 sport=22507 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=22507 [ASSURED] mark=0 use=1
tcp      6 431999 ESTABLISHED src=192.168.201.108 dst=182.75.23.156 sport=17720 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=17720 [ASSURED] mark=0 use=1
tcp      6 431999 ESTABLISHED src=192.168.201.111 dst=182.75.23.156 sport=21704 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=21704 [ASSURED] mark=0 use=1
root@linux-study:~#
5.5. 删除所有处于特定状态的连接

删除所有处于TIME_WAIT状态的连接条目：conntrack -D --state TIME_WAIT

5.6. 过滤并显示来自或发送到特定IP的连接条目

显示所有来自特定IP地址的连接条目：conntrack -L -s 192.168.201.111

root@linux-study:~# conntrack -L -s 192.168.201.111|head
tcp      6 5 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=33961 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=33961 [ASSURED] mark=0 use=1
tcp      6 43 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=11361 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=11361 [ASSURED] mark=0 use=1
tcp      6 75 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=21555 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=21555 [ASSURED] mark=0 use=1
tcp      6 101 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=1895 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=1895 [ASSURED] mark=0 use=2
tcp      6 85 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=19260 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=19260 [ASSURED] mark=0 use=1
tcp      6 15 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=5298 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=5298 [ASSURED] mark=0 use=1
tcp      6 2 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=2753 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=2753 [ASSURED] mark=0 use=1
tcp      6 1 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=53251 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=53251 [ASSURED] mark=0 use=1
tcp      6 114 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=31972 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=31972 [ASSURED] mark=0 use=1
tcp      6 114 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=47645 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=47645 [ASSURED] mark=0 use=1
root@linux-study:~#

显示所有发送到特定IP地址的连接条目：conntrack -L -d 182.75.23.156

oot@linux-study:~# conntrack -L -d 182.75.23.156|head
tcp      6 35 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=50720 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=50720 [ASSURED] mark=0 use=1
tcp      6 111 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=38312 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=38312 [ASSURED] mark=0 use=1
tcp      6 21 TIME_WAIT src=192.168.201.106 dst=182.75.23.156 sport=8688 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=8688 [ASSURED] mark=0 use=1
tcp      6 113 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=54751 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=54751 [ASSURED] mark=0 use=1
tcp      6 103 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=22584 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=22584 [ASSURED] mark=0 use=1
tcp      6 6 CLOSE src=192.168.201.110 dst=182.75.23.156 sport=40445 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=40445 [ASSURED] mark=0 use=1
tcp      6 85 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=46340 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=46340 [ASSURED] mark=0 use=1
tcp      6 66 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=12944 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=12944 [ASSURED] mark=0 use=1
tcp      6 59 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=5575 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=5575 [ASSURED] mark=0 use=1
tcp      6 34 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=47638 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=47638 [ASSURED] mark=0 use=1
root@linux-study:~#
5.7. 使用源或目的端口过滤连接条目

显示所有使用特定源端口的连接条目：conntrack -L -p tcp --sport 22

root@linux-study:~#
root@linux-study:~# conntrack -L -p tcp --sport 57112
tcp      6 61 TIME_WAIT src=192.168.201.108 dst=182.75.23.156 sport=57112 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=57112 [ASSURED] mark=0 use=1
conntrack v1.4.5 (conntrack-tools): 1 flow entries have been shown.
root@linux-study:~#
root@linux-study:~#

显示所有使用特定目的端口的连接条目：conntrack -L -p tcp --dport 443

root@linux-study:~# conntrack -L -p tcp --dport 443|head
tcp      6 102 TIME_WAIT src=192.168.201.110 dst=182.75.23.156 sport=9099 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=9099 [ASSURED] mark=0 use=1
tcp      6 37 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=3253 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=3253 [ASSURED] mark=0 use=1
tcp      6 8 CLOSE src=192.168.201.110 dst=182.75.23.156 sport=21568 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=21568 [ASSURED] mark=0 use=1
tcp      6 39 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=19778 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=19778 [ASSURED] mark=0 use=1
tcp      6 85 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=16067 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=16067 [ASSURED] mark=0 use=1
tcp      6 58 TIME_WAIT src=192.168.201.111 dst=182.75.23.156 sport=43727 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=43727 [ASSURED] mark=0 use=1
tcp      6 54 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=3599 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=3599 [ASSURED] mark=0 use=1
tcp      6 0 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=47476 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=47476 [ASSURED] mark=0 use=1
tcp      6 55 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=62983 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=62983 [ASSURED] mark=0 use=1
tcp      6 119 TIME_WAIT src=192.168.201.109 dst=182.75.23.156 sport=56724 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=56724 [ASSURED] mark=0 use=1
root@linux-study:~#
5.8. 监听和显示连接跟踪事件

实时显示连接跟踪事件，如新建连接、更新连接或销毁连接：conntrack -E

root@linux-study:~#
root@linux-study:~# conntrack -E|head
 [UPDATE] tcp      6 60 SYN_RECV src=192.168.201.109 dst=182.75.23.156 sport=61456 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=61456
 [UPDATE] tcp      6 432000 ESTABLISHED src=192.168.201.109 dst=182.75.23.156 sport=61456 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=61456 [ASSURED]
 [UPDATE] tcp      6 120 FIN_WAIT src=192.168.201.109 dst=182.75.23.156 sport=61456 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=61456 [ASSURED]
 [UPDATE] tcp      6 30 LAST_ACK src=192.168.201.109 dst=182.75.23.156 sport=61456 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=61456 [ASSURED]
 [UPDATE] tcp      6 10 CLOSE src=192.168.201.109 dst=182.75.23.156 sport=61456 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=61456 [ASSURED]
    [NEW] tcp      6 120 SYN_SENT src=192.168.201.111 dst=182.75.23.156 sport=64550 dport=443 [UNREPLIED] src=182.75.23.156 dst=172.30.3.222 sport=443 dport=64550
 [UPDATE] tcp      6 60 SYN_RECV src=192.168.201.111 dst=182.75.23.156 sport=64550 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=64550
 [UPDATE] tcp      6 432000 ESTABLISHED src=192.168.201.111 dst=182.75.23.156 sport=64550 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=64550 [ASSURED]
[DESTROY] tcp      6 src=192.168.201.109 dst=182.75.23.156 sport=26138 dport=443 src=182.75.23.156 dst=172.30.3.222 sport=443 dport=26138 [ASSURED]
    [NEW] tcp      6 120 SYN_SENT src=192.168.201.109 dst=182.75.23.156 sport=1302 dport=443 [UNREPLIED] src=182.75.23.156 dst=172.30.3.222 sport=443 dport=1302
root@linux-study:~#
5.9. 从连接跟踪表中删除与特定IP相关的所有连接

删除与特定源IP地址相关的所有连接条目：conntrack -D -s 192.168.1.100

删除与特定目的IP地址相关的所有连接条目：conntrack -D -d 192.168.1.100

5.10. 利用NAT信息删除连接条目

删除所有源NAT（SNAT）到特定IP的连接：conntrack -D --src-nat 192.168.1.100

删除所有目的NAT（DNAT）到特定IP的连接：conntrack -D --dst-nat 192.168.1.100

当然，让我们在适当的地方加入emoji来让回答更加生动：

6. 案例分析💡

6.1. 案例1: 网络连接过多导致服务不可用 🚫🔌
6.1.1. 问题描述

服务器突然无法响应，初步怀疑是由于网络连接数过多导致。需要快速诊断是否有大量的网络连接占用了服务器资源。

6.2. 解决过程

  1. 首先，使用conntrack -L命令🔍列出当前所有的网络连接状态，这能帮助我们快速获取当前的连接概览。

  2. 使用conntrack -C命令直接获取当前跟踪的连接总数，这可以更快地帮助我们判断是否连接数过多。

  3. 如果发现连接数异常高，使用conntrack -L | grep "状态" | wc -l（状态比如ESTABLISHED）来具体分析哪种类型的连接占比较高。

  4. 为了解决这个问题，可以使用conntrack -D --dst <服务器IP>来删除向特定目标IP地址的所有连接，或者根据需要删除特定状态的连接，如conntrack -D --state ESTABLISHED来减少活跃连接🚨。

  5. 在处理完毕后，监控服务器性能📈，确保服务恢复正常。

6.3. 案例2: 疑似DDoS攻击 🛡️💥
6.3.1. 问题描述

服务器遭受疑似DDoS攻击，导致正常服务受到影响。需要快速定位并减轻攻击。

6.3.2. 解决过程

  1. 使用conntrack -L命令查看当前的网络连接，特别是那些状态为NEW但未得到回应的连接（即[UNREPLIED]标记）。

  2. 通过观察源IP分布，使用conntrack -L | grep [UNREPLIED] | awk '{print $NF}' | sort | uniq -c | sort -nr来识别发送大量连接请求的源IP。

  3. 对于明显的攻击源，可以使用conntrack -D --src <攻击源IP>来直接从连接跟踪表中删除这些恶意连接⛔。

  4. 为进一步保护系统，可以基于观察到的攻击模式，通过防火墙规则（如iptables）阻止这些恶意IP的进一步连接尝试🔐。

6.4. 案例3: 服务响应缓慢 🐌💤
6.4.1. 问题描述

用户报告特定服务响应缓慢。初步怀疑是网络层面的问题，需要确认是否为网络连接问题。

6.4.2. 解决过程

  1. 使用conntrack -L | grep "特定服务的端口"来查看与服务相关的网络连接状态，从而判断是否有异常的连接状态。

  2. 如果发现有大量的SYN_RECV状态，可能表明SYN Flood攻击，或者服务端口无法及时处理入站连接请求。

  3. 对于这种情况，可以通过调整服务器的TCP栈参数来提高处理能力，同时使用conntrack -D命令删除一些长时间未建立的连接，以减轻服务器负担🔧。

  4. 长期解决方案可能需要增加服务器资源，优化服务配置，或者使用负载均衡等技术来改善服务响应🔄。

7. 注意事项⚠️

  • 大多数conntrack命令需要管理员权限（root）来执行。🛠️
  • 删除连接条目时要格外小心，因为这可能会影响正在进行的网络会话。⚠
  • 使用conntrack -E监听连接事件时，输出可能会非常快速和大量，可以考虑将其重定向到文件中或通过管道传递给grep进行过滤。🔍
GousterCloud
关注
专栏目录
nf_conntrack连接跟踪机制
喝醉酒的小白
08-11 1321
当网络数据包到达时，nf_conntrack 会检查该数据包与现有连接之间的关系，以确定它是否属于现有连接，或者是新的连接请求。当进行源地址转换（SNAT）或目标地址转换（DNAT）时，nf_conntrack 可以跟踪转换后的连接状态，并确保返回数据包正确地映射回原始连接。过滤与处理：基于连接状态，nf_conntrack 可以与防火墙系统（如 netfilter/iptables）集成，以实现对连接的过滤和处理。它可以记录连接的源地址、目标地址、端口、协议等信息，并根据这些信息进行连接的管理和跟踪。
Linux协议栈-netfilter(2)-conntrack
热门推荐
落尘纷扰的专栏
04-04 1万+
连接跟踪（conntrack）用来跟踪和记录一个连接的状态，它为经过协议栈的数据包记录状态，这为防火墙检测连接状态提供了参考，同时在数据包需要做NAT时也为转换工作提供便利。本文基于Linux内核2.6.31实现的conntrack进行源码分析。1. conntrack模块初始化1.1 conntrack模块入口conntrack模块的初始化主要就是为必要的全局数据结构进行初始化，代码流程如下：上...
conntrack表如何查看
最新发布
lonelyhiker
08-22 386
conntrack表是管理和监控网络连接状态的关键工具，特别是在使用 NAT 时。通过sysctl和conntrack工具，你可以查看表的当前使用情况、调整表大小，并对特定连接进行深入分析。这些操作有助于预防和排查网络连接问题，提高系统的稳定性和性能。
linux conntrack
lucien的博客
02-09 1175
http://staff.ustc.edu.cn/~james/linux/nat.html http://blog.csdn.net/efan_linux/article/details/4604362 http://blog.csdn.net/dog250/article/details/9732185
Linux中的conntrack命令
yikongruhui的博客
04-18 248
使用 conntrack - L 查询出来。
Linux的ip_conntrack半景
系统运维
02-25 136
ip_conntrack内置于Linux协议栈的Netfilter框架，其实现比较复杂，然而其逻辑却很简单。ip_conntrack追踪每一个流，一个流由五元组来定义，五元组这个网络基本术语就不解释了。因此ip_conntrack必然能对“哪里是一个流的开始”做出判断，虽然这种判断不总是精确的，详见《linux之ip_conntrack容易混淆的问题点滴》。　　ip_conntrack会为每一个到...
【博客521】linux conntrack (connection tracking)
qq_43684922的博客
10-16 2573
conntrack本质是一个内核里的hash表，每个node上的conntrack在跟踪流过它的每一条连接。
Linux IP命令深度解析：网络管理与监控的六大专业技巧
![Linux IP命令深度解析：网络管理与监控的六大专业技巧]...本文旨在对Linux IP命令进行深入的探讨，从其基本功能、配置技巧到故障诊断方法，再到自动化管理与网络安全应用，一步步揭开Linux IP命令的神秘面纱。
iptables规则大师：Linux IP防火墙深入解析与配置
[iptables规则大师：Linux IP防火墙深入解析与配置](https://media.geeksforgeeks.org/wp-content/uploads/check.jpg) # 1. iptables基础与功能概述 iptables是Linux系统中一个功能强大的命令行工具，用于配置Linux...
深入解析Linux内核：启动流程到核心组件的完全指南
![深入解析Linux内核：启动流程到核心组件的完全指南]...# 1. Linux内核启动流程概述 Linux操作系统以其开源性和强大的功能吸引了全球范围内无数的开发者和用户。Linux内核作为整个系统的核心，承载着管理硬件资源、...
Linux系统安全基础：用户认证和权限控制的深入解析
[Linux系统安全基础：用户认证和权限控制的深入解析](https://www.computernetworkingnotes.com/wp-content/uploads/linux-tutorials/images/rsg04-12-userdel-with-r-option.png) # 1. 用户认证机制原理 在当今...
连接跟踪conntrack详解
02-08
非常详细的连接跟踪过程讲解 非常详细的连接跟踪过程讲解
详解Linux内核态调试工具kdump
dvlinker的技术专栏
07-30 8318
详解Linux内核态调试工具kdump。
linux之conntrack连接跟踪
农民工
04-15 3451
系列文章目录 提示：这里可以添加系列文章的所有文章的目录，目录需要自己手动添加 例如：第一章 Python 机器学习入门之pandas的使用 提示：写完文章后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录系列文章目录前言一、pandas是什么？二、使用步骤1.引入库2.读入数据总结 前言 提示：这里可以添加本文要记录的大概内容： 例如：随着人工智能的不断发展，机器学习这门技术也越来越重要，很多人都开启了学习机器学习，本文就介绍了机器学习的基础内容。 提示：以下是本篇文章正文内容，下面案例可
Linux网络之连接跟踪 conntrack
wzj_110的博客
12-03 1054
Linux网络之连接跟踪 conntrack。conntrack 命令。conntrack中的。
Linux网络之连接跟踪（conntrack）
m0_74282605的博客
03-07 1745
例如，kubernetes的service，ServiceMesh sidecar，4层负载均衡软件LVS/IPVS，容器网络，OpenvSwitch，OpenStack安全组等等都是依赖连接跟踪。我们澄清了conntrack的概念是独立于NAT模块的，但是出于性能考虑，代码可能是耦合的。上图中，假设节点IP 10.1.1.2可以被其他节点访问，但是内部网络地址范围在192.168.1.0/24的，外部访问不了，类似节点上容器地址。更清楚地说，钩子(hook)是一种在包的遍历路径上放置多个检查点的机制。
连接跟踪（conntrack）：原理、应用及 Linux 内核实现
maimang1001的专栏
03-20 1311
本文介绍连接跟踪（connection tracking，conntrack，CT）的原理，应用，及其在 Linux 内核中的实现。代码分析基于内核4.19。为使行文简洁，所贴代码只保留了核心逻辑，但都给出了代码 所在的源文件，如有需要请查阅。水平有限，文中不免有错误之处，欢迎指正交流。// 为方便 NAT 的实现，内核将 tuple 结构体拆分为 "manipulatable" 和 "non-manipulatable" 两部分// 下面结构体中的 _man 是 manipulatable 的缩写。
Linux conntrack模块,linux conntrack
weixin_35019134的博客
05-14 445
4.4. TCP 连接本节和下面的几节，我们来详细讨论这些状态，以及在TCP、UDP和ICMP这三种基本的协议里怎样操作它们。当然，也会讨论其他协议的情况。我们还是从TCP入手，因为它本身就是一个带状态的协议，并且具有很多关于iptables状态机制的详细信息。一个TCP连接是经过三次握手协商连接信息才建立起来的。整个会话由一个SYN包开始，然后是一个 SYN/ACK包，最后是一个ACK包，此时，...
Iptables状态跟踪（conntrack）相关命令与参数
shijin741231的博客
01-22 1687
简述Iptables conntrack，介绍概念、参数，并给出推荐配置
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值