_max和hash表的关系及调整

最新推荐文章于 2022-12-25 16:34:37 发布
最新推荐文章于 2022-12-25 16:34:37 发布
阅读量827 收藏
点赞数
分类专栏： sso

 

 

这里我们可以调整两个参数：
－允许的最大跟踪连接条目，在这篇文档中我们叫作CONNTRACK_MAX
－存储跟踪连接条目列表的哈西表的大小，在这篇文档中我们叫做HASHSIZE（下面是这个结构的描述）

CONNTRACK_MAX是在内核内存中netfilter可以同时处理的“任务”（连接跟踪条目）。

一个跟踪连接的条目是存储在一个链接起来的列表的一个节点上，每个列表都是一个哈西表的元素。因此每个哈西表的条目（也叫一个桶－bucket）包含了一个链接起来的跟踪连接条目。
要访问一个特定包的跟踪连接条目，内核必须：
－针对一个包中的已经定义的一些字符计算哈西值。这是一个不间断的计算。
  这个哈西值就会被当作哈西表的索引来使用，而跟踪连接条目的列表就存储在这里。
－反复的查看链接列表中的跟踪连接条目以找到匹配的那一个。
  这是一个耗资源的操作，依赖于列表的大小（也依赖于列表中被操作的跟踪连接条目的位置）。

哈西表包含了HASHSIZE大小的链接条目。当条目满的时候（总的跟踪连接条目数达到了CONNTRACK_MAX），理想状态下，每个列表（在最优化的条件下）将包含大约CONNTRACK_MAX/HASHSIZE的条目数。

不管你是否有连接，哈西表都将占用一个固定大小的非交换内核内存。但是最大连接跟踪条目会检测最多可以存储多少条目（globally into the
linked lists），也就是说他们最多可以占用多少的内核内存。

这篇文档将给你一些关于为了达到最好的netfilter conntracking/NAT系统性能，如何调优HASHSIZE和CONNTRACK_MAX值的提示。

CONNTRACK_MAX和HASHSIZE的默认值
============================================

一般来说，CONNTRACK_MAX和HASHSIZE都会设置在“合理”使用的值上，依据可使用的RAM的大小来计算这个值。

 


http://wenwen.sogou.com/z/q584492625.htm
http://wenwen.sogou.com/z/q584492619.htm
http://wenwen.sogou.com/z/q584492470.htm
http://wenwen.sogou.com/z/q584492465.htm
http://wenwen.sogou.com/z/q584492703.htm
http://wenwen.sogou.com/z/q584492623.htm
http://wenwen.sogou.com/z/q584492299.htm
http://wenwen.sogou.com/z/q584492617.htm
http://wenwen.sogou.com/z/q584492644.htm
http://wenwen.sogou.com/z/q584492705.htm
http://wenwen.sogou.com/z/q584492707.htm
http://wenwen.sogou.com/z/q584492468.htm
http://wenwen.sogou.com/z/q584492638.htm
http://wenwen.sogou.com/z/q584492667.htm
http://wenwen.sogou.com/z/q584492652.htm
http://wenwen.sogou.com/z/q584492641.htm
http://wenwen.sogou.com/z/q584492646.htm
http://wenwen.sogou.com/z/q584492476.htm
http://wenwen.sogou.com/z/q584492480.htm
http://wenwen.sogou.com/z/q584492708.htm
http://wenwen.sogou.com/z/q584492662.htm
http://wenwen.sogou.com/z/q584492709.htm
http://wenwen.sogou.com/z/q584492712.htm
http://wenwen.sogou.com/z/q584492474.htm
http://wenwen.sogou.com/z/q584492664.htm
http://wenwen.sogou.com/z/q584492479.htm
http://wenwen.sogou.com/z/q584492482.htm
http://wenwen.sogou.com/z/q584492695.htm
http://wenwen.sogou.com/z/q584492800.htm
http://wenwen.sogou.com/z/q584492484.htm
http://wenwen.sogou.com/z/q584492716.htm
http://wenwen.sogou.com/z/q584492724.htm
http://wenwen.sogou.com/z/q584492832.htm
http://wenwen.sogou.com/z/q584492820.htm
http://wenwen.sogou.com/z/q584492812.htm
http://wenwen.sogou.com/z/q584492486.htm
http://wenwen.sogou.com/z/q584492719.htm
http://wenwen.sogou.com/z/q584492828.htm
http://wenwen.sogou.com/z/q584492721.htm
http://wenwen.sogou.com/z/q584492851.htm
http://wenwen.sogou.com/z/q584492833.htm
http://wenwen.sogou.com/z/q584492838.htm
http://wenwen.sogou.com/z/q584492489.htm
http://wenwen.sogou.com/z/q584492490.htm
http://wenwen.sogou.com/z/q584492836.htm
http://wenwen.sogou.com/z/q584492725.htm
http://wenwen.sogou.com/z/q584492843.htm
http://wenwen.sogou.com/z/q584492722.htm
http://wenwen.sogou.com/z/q584492723.htm
http://wenwen.sogou.com/z/q584492496.htm
http://wenwen.sogou.com/z/q584492853.htm
http://wenwen.sogou.com/z/q584492866.htm
http://wenwen.sogou.com/z/q584492860.htm
http://wenwen.sogou.com/z/q584492495.htm
http://wenwen.sogou.com/z/q584492868.htm
http://wenwen.sogou.com/z/q584492497.htm
http://wenwen.sogou.com/z/q584492499.htm
http://wenwen.sogou.com/z/q584492869.htm
http://wenwen.sogou.com/z/q584492890.htm
http://wenwen.sogou.com/z/q584493007.htm
http://wenwen.sogou.com/z/q584492900.htm
http://wenwen.sogou.com/z/q584492730.htm
http://wenwen.sogou.com/z/q584492901.htm
http://wenwen.sogou.com/z/q584492884.htm
http://wenwen.sogou.com/z/q584493010.htm
http://wenwen.sogou.com/z/q584492731.htm
http://wenwen.sogou.com/z/q584492904.htm
http://wenwen.sogou.com/z/q584492733.htm
http://wenwen.sogou.com/z/q584492893.htm
http://wenwen.sogou.com/z/q584492735.htm
http://wenwen.sogou.com/z/q584493004.htm
http://wenwen.sogou.com/z/q584492899.htm
http://wenwen.sogou.com/z/q584493006.htm
http://wenwen.sogou.com/z/q584493001.htm
http://wenwen.sogou.com/z/q584493003.htm
http://wenwen.sogou.com/z/q584492908.htm
http://wenwen.sogou.com/z/q584492905.htm
http://wenwen.sogou.com/z/q584492738.htm
http://wenwen.sogou.com/z/q584493015.htm
http://wenwen.sogou.com/z/q584492737.htm
http://wenwen.sogou.com/z/q584492907.htm
http://wenwen.sogou.com/z/q584493013.htm
http://wenwen.sogou.com/z/q584492910.htm
http://wenwen.sogou.com/z/q584493023.htm
http://wenwen.sogou.com/z/q584493012.htm
http://wenwen.sogou.com/z/q584493017.htm
http://wenwen.sogou.com/z/q584493024.htm
http://wenwen.sogou.com/z/q584492742.htm
http://wenwen.sogou.com/z/q584492911.htm
http://wenwen.sogou.com/z/q584493053.htm
http://wenwen.sogou.com/z/q584493055.htm
http://wenwen.sogou.com/z/q584492912.htm
http://wenwen.sogou.com/z/q584492744.htm
http://wenwen.sogou.com/z/q584492913.htm
http://wenwen.sogou.com/z/q584493039.htm
http://wenwen.sogou.com/z/q584492746.htm
http://wenwen.sogou.com/z/q584493057.htm
http://wenwen.sogou.com/z/q584493042.htm
http://wenwen.sogou.com/z/q584492923.htm
http://wenwen.sogou.com/z/q584492749.htm
http://wenwen.sogou.com/z/q584492747.htm
http://wenwen.sogou.com/z/q584493056.htm
http://wenwen.sogou.com/z/q584493064.htm
http://wenwen.sogou.com/z/q584493059.htm
http://wenwen.sogou.com/z/q584493084.htm
http://wenwen.sogou.com/z/q584493079.htm
http://wenwen.sogou.com/z/q584492916.htm
http://wenwen.sogou.com/z/q584493068.htm
http://wenwen.sogou.com/z/q584492917.htm
http://wenwen.sogou.com/z/q584492748.htm
http://wenwen.sogou.com/z/q584492750.htm
http://wenwen.sogou.com/z/q584492752.htm
http://wenwen.sogou.com/z/q584492921.htm
http://wenwen.sogou.com/z/q584493070.htm
http://wenwen.sogou.com/z/q584492928.htm
http://wenwen.sogou.com/z/q584493080.htm
http://wenwen.sogou.com/z/q584493073.htm
http://wenwen.sogou.com/z/q584492929.htm
http://wenwen.sogou.com/z/q584493088.htm
http://wenwen.sogou.com/z/q584493024.htm
http://wenwen.sogou.com/z/q584493136.htm
http://wenwen.sogou.com/z/q584493105.htm
http://wenwen.sogou.com/z/q584492934.htm
http://wenwen.sogou.com/z/q584492753.htm
http://wenwen.sogou.com/z/q584492754.htm
http://wenwen.sogou.com/z/q584492933.htm
http://wenwen.sogou.com/z/q584493101.htm
http://wenwen.sogou.com/z/q584493112.htm
http://wenwen.sogou.com/z/q584493110.htm
http://wenwen.sogou.com/z/q584492923.htm
http://wenwen.sogou.com/z/q584492757.htm
http://wenwen.sogou.com/z/q584492749.htm
http://wenwen.sogou.com/z/q584493121.htm
http://wenwen.sogou.com/z/q584493138.htm
http://wenwen.sogou.com/z/q584493132.htm
http://wenwen.sogou.com/z/q584493127.htm
http://wenwen.sogou.com/z/q584493125.htm
http://wenwen.sogou.com/z/q584492939.htm
http://wenwen.sogou.com/z/q584492758.htm
http://wenwen.sogou.com/z/q584492938.htm
http://wenwen.sogou.com/z/q584492759.htm
http://wenwen.sogou.com/z/q584492760.htm
http://wenwen.sogou.com/z/q584492940.htm
http://wenwen.sogou.com/z/q584493149.htm
http://wenwen.sogou.com/z/q584492942.htm
http://wenwen.sogou.com/z/q584493153.htm
http://wenwen.sogou.com/z/q584492941.htm
http://wenwen.sogou.com/z/q584493154.htm
http://wenwen.sogou.com/z/q584493166.htm
http://wenwen.sogou.com/z/q584493165.htm
http://wenwen.sogou.com/z/q584493164.htm
http://wenwen.sogou.com/z/q584493176.htm
http://wenwen.sogou.com/z/q584493174.htm
http://wenwen.sogou.com/z/q584492952.htm
http://wenwen.sogou.com/z/q584492762.htm
http://wenwen.sogou.com/z/q584493186.htm
http://wenwen.sogou.com/z/q584492765.htm
http://wenwen.sogou.com/z/q584493193.htm
http://wenwen.sogou.com/z/q584493183.htm
http://wenwen.sogou.com/z/q584492958.htm
http://wenwen.sogou.com/z/q584492948.htm
http://wenwen.sogou.com/z/q584492766.htm
http://wenwen.sogou.com/z/q584492767.htm
http://wenwen.sogou.com/z/q584493194.htm
http://wenwen.sogou.com/z/q584493212.htm
http://wenwen.sogou.com/z/q584493201.htm
http://wenwen.sogou.com/z/q584493207.htm
http://wenwen.sogou.com/z/q584492953.htm
http://wenwen.sogou.com/z/q584492954.htm
http://wenwen.sogou.com/z/q584492768.htm
http://wenwen.sogou.com/z/q584493214.htm
http://wenwen.sogou.com/z/q584492769.htm
http://wenwen.sogou.com/z/q584492770.htm
http://wenwen.sogou.com/z/q584492955.htm
http://wenwen.sogou.com/z/q584493224.htm
http://wenwen.sogou.com/z/q584492956.htm
http://wenwen.sogou.com/z/q584493165.htm
http://wenwen.sogou.com/z/q584493220.htm
http://wenwen.sogou.com/z/q584492941.htm
http://wenwen.sogou.com/z/q584493218.htm
http://wenwen.sogou.com/z/q584493226.htm
http://wenwen.sogou.com/z/q584493227.htm
http://wenwen.sogou.com/z/q584492965.htm
http://wenwen.sogou.com/z/q584493242.htm
http://wenwen.sogou.com/z/q584492774.htm
http://wenwen.sogou.com/z/q584492963.htm
http://wenwen.sogou.com/z/q584493237.htm
http://wenwen.sogou.com/z/q584493246.htm
http://wenwen.sogou.com/z/q584493245.htm
http://wenwen.sogou.com/z/q584492778.htm
http://wenwen.sogou.com/z/q584493249.htm
http://wenwen.sogou.com/z/q584492964.htm
http://wenwen.sogou.com/z/q584492776.htm
http://wenwen.sogou.com/z/q584493255.htm
http://wenwen.sogou.com/z/q584492777.htm
http://wenwen.sogou.com/z/q584493262.htm
http://wenwen.sogou.com/z/q584493266.htm
http://wenwen.sogou.com/z/q584493282.htm
http://wenwen.sogou.com/z/q584493269.htm
http://wenwen.sogou.com/z/q584492967.htm
http://wenwen.sogou.com/z/q584492968.htm
http://wenwen.sogou.com/z/q584492782.htm
http://wenwen.sogou.com/z/q584493274.htm
http://wenwen.sogou.com/z/q584492780.htm
http://wenwen.sogou.com/z/q584492971.htm
http://wenwen.sogou.com/z/q584492786.htm
http://wenwen.sogou.com/z/q584493290.htm
http://wenwen.sogou.com/z/q584493288.htm
http://wenwen.sogou.com/z/q584492972.htm
http://wenwen.sogou.com/z/q584493287.htm
http://wenwen.sogou.com/z/q584493291.htm
http://wenwen.sogou.com/z/q584492974.htm
http://wenwen.sogou.com/z/q584493297.htm
http://wenwen.sogou.com/z/q584493242.htm
http://wenwen.sogou.com/z/q584492978.htm
http://wenwen.sogou.com/z/q584493308.htm
http://wenwen.sogou.com/z/q584492791.htm
http://wenwen.sogou.com/z/q584492976.htm
http://wenwen.sogou.com/z/q584493317.htm
http://wenwen.sogou.com/z/q584492790.htm
http://wenwen.sogou.com/z/q584492979.htm
http://wenwen.sogou.com/z/q584492777.htm
http://wenwen.sogou.com/z/q584493313.htm
http://wenwen.sogou.com/z/q584492792.htm
http://wenwen.sogou.com/z/q584493316.htm
http://wenwen.sogou.com/z/q584493333.htm
http://wenwen.sogou.com/z/q584493327.htm
http://wenwen.sogou.com/z/q584493324.htm
http://wenwen.sogou.com/z/q584493323.htm
http://wenwen.sogou.com/z/q584492983.htm
http://wenwen.sogou.com/z/q584492993.htm
http://wenwen.sogou.com/z/q584492795.htm
http://wenwen.sogou.com/z/q584493334.htm
http://wenwen.sogou.com/z/q584492794.htm
http://wenwen.sogou.com/z/q584492986.htm
http://wenwen.sogou.com/z/q584492793.htm
http://wenwen.sogou.com/z/q584493338.htm
http://wenwen.sogou.com/z/q584492988.htm
http://wenwen.sogou.com/z/q584493347.htm
http://wenwen.sogou.com/z/q584493352.htm
http://wenwen.sogou.com/z/q584492990.htm
http://wenwen.sogou.com/z/q584493351.htm
http://wenwen.sogou.com/z/q584493356.htm
http://wenwen.sogou.com/z/q584493358.htm
http://wenwen.sogou.com/z/q584493369.htm
http://wenwen.sogou.com/z/q584493378.htm
http://wenwen.sogou.com/z/q584492997.htm
http://wenwen.sogou.com/z/q584493400.htm
http://wenwen.sogou.com/z/q584492799.htm
http://wenwen.sogou.com/z/q584493386.htm
http://wenwen.sogou.com/z/q584492996.htm
http://wenwen.sogou.com/z/q584493374.htm
http://wenwen.sogou.com/z/q584492998.htm
http://wenwen.sogou.com/z/q584493379.htm
http://wenwen.sogou.com/z/q584493387.htm
http://wenwen.sogou.com/z/q584493390.htm
http://wenwen.sogou.com/z/q584493405.htm
http://wenwen.sogou.com/z/q584493402.htm
http://wenwen.sogou.com/z/q584493382.htm
http://wenwen.sogou.com/z/q584493388.htm
http://wenwen.sogou.com/z/q584493389.htm
http://wenwen.sogou.com/z/q584493502.htm
http://wenwen.sogou.com/z/q584493407.htm
http://wenwen.sogou.com/z/q584493506.htm
http://wenwen.sogou.com/z/q584493392.htm
http://wenwen.sogou.com/z/q584493414.htm
http://wenwen.sogou.com/z/q584493410.htm
http://wenwen.sogou.com/z/q584493508.htm
http://wenwen.sogou.com/z/q584493338.htm
http://wenwen.sogou.com/z/q584493507.htm
http://wenwen.sogou.com/z/q584493609.htm
http://wenwen.sogou.com/z/q584493608.htm
http://wenwen.sogou.com/z/q584493610.htm
http://wenwen.sogou.com/z/q584493504.htm
http://wenwen.sogou.com/z/q584493603.htm
http://wenwen.sogou.com/z/q584493621.htm
http://wenwen.sogou.com/z/q584493622.htm
http://wenwen.sogou.com/z/q584493518.htm
http://wenwen.sogou.com/z/q584493417.htm
http://wenwen.sogou.com/z/q584493513.htm
http://wenwen.sogou.com/z/q584493625.htm
http://wenwen.sogou.com/z/q584493637.htm
http://wenwen.sogou.com/z/q584493416.htm
http://wenwen.sogou.com/z/q584493514.htm
http://wenwen.sogou.com/z/q584493618.htm
http://wenwen.sogou.com/z/q584493418.htm
http://wenwen.sogou.com/z/q584493655.htm
http://wenwen.sogou.com/z/q584493628.htm
http://wenwen.sogou.com/z/q584493648.htm
http://wenwen.sogou.com/z/q584493419.htm
http://wenwen.sogou.com/z/q584493631.htm
http://wenwen.sogou.com/z/q584493627.htm
http://wenwen.sogou.com/z/q584493519.htm
http://wenwen.sogou.com/z/q584493420.htm
http://wenwen.sogou.com/z/q584493635.htm
http://wenwen.sogou.com/z/q584493414.htm
http://wenwen.sogou.com/z/q584493421.htm
http://wenwen.sogou.com/z/q584493523.htm
http://wenwen.sogou.com/z/q584493643.htm
http://wenwen.sogou.com/z/q584493524.htm
http://wenwen.sogou.com/z/q584493522.htm
http://wenwen.sogou.com/z/q584493654.htm
http://wenwen.sogou.com/z/q584493610.htm
http://wenwen.sogou.com/z/q584493528.htm
http://wenwen.sogou.com/z/q584493652.htm
http://wenwen.sogou.com/z/q584493659.htm
CONNTRACK_MAX的默认值
------------------------------

在i386架构上，CONNTRACK_MAX = RAMSIZE (以bytes记) / 16384 =
RAMSIZE (以MegaBytes记) * 64，
因此，一个32位的带512M内存的PC在默认情况下能够处理512*1024^2/16384 = 512*64 = 32768个并发的netfilter连接。

但是真正的公式是：
CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (x / 32)
这里x是指针的bit数，（例如，32或者64bit）

请注意：
－默认的CONNTRACK_MAX值不会低于128
－对于带有超过1G内存的系统，CONNTRACK_MAX的默认值会被限制在65536（但是可以手工设置成更大的值）

HASHSIZE的默认值
-------------------------

通常，CONNTRACK_MAX = HASHSIZE * 8。这意味着每个链接的列表平均包含8个conntrack的条目（在优化的情况并且CONNTRACK_MAX达到的情况下），每个链接的列表就是一个哈西表条目（一个桶）。

在i386架构上，HASHSIZE = CONNTRACK_MAX / 8 =
RAMSIZE (以bytes记) / 131072 = RAMSIZE (以MegaBytes记) * 8。
举例来说，一个32位、带512M内存的PC可以存储512*1024^2/128/1024 =
512*8 = 4096 个桶（链接表）

但是真正的公式是：
HASHSIZE = CONNTRACK_MAX / 8 = RAMSIZE (以bytes记) / 131072 / (x / 32)
这里x是指针的bit数，（例如，32或者64bit）

请注意：
－默认HASHSIZE的值不会小于16
－对于带有超过1G内存的系统，HASHSIZE的默认值会被限制在8192（但是可以手工设置成更大的值）

读取CONNTRACK_MAX和HASHSIZE
==================================

现在通过/proc文件系统我们可以在运行时读取CONNTRACK_MAX的值。

在Linux kernel 2.4.23版本前，使用：
# cat /proc/sys/net/ipv4/ip_conntrack_max

在Linux kernel 2.4.23版本后，使用：
# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_max
  (旧的 /proc/sys/net/ipv4/ip_conntrack_max是不建议使用的!)

当前的HASHSIZE总是可以在syslog信息中找到（对任何一个内核版本），桶（也就是HASHSIZE）的数目是在ip_conntrack初始化的时候显示出来的。
对于linux内核2.4.24以后，当前的HASHSIZE值可以在运行时使用下面的命令读取：
# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_buckets


修改CONNTRACK_MAX和HASHSIZE
====================================

默认的CONNTRACK_MAX和HASHSIZE的值都会因主机的不同而不同，但你可以在只做防火墙的高负载的系统上增加他们。
因此CONNTRACK_MAX和HASHSIZE值如果需要的话可以手工更改。

读取桶是一个连续性的操作（我们的兴趣在于得到一个哈西列表），请记得内核需要不停的遍历一个链接的列表去查找一个跟踪连接条目。因此一个链接列表（CONNTRACK_MAX/HASHSIZE的值在优化的状态下并且达到上限）的平均值不能设置太大。这个比值默认值是8（当值是自动计算的时候）。
在系统有足够的内存并且性能真的很重要的时候，你可以试着使平均值是一个跟踪连接条目配一个哈西桶，这意味着HASHSIZE = CONNTRACK_MAX。


设置CONNTRACK_MAX
---------------------

跟踪连接的条目是存储在链接的表中的，因此最大的跟踪链接条目（CONNTRACK_MAX）可以很容易的动态调整。

linux内核2.4.23之前，使用：
# echo $CONNTRACK_MAX > /proc/sys/net/ipv4/ip_conntrack_max

linux内核2.4.23之后，使用：
# echo $CONNTRACK_MAX > /proc/sys/net/ipv4/netfilter/ip_conntrack_max

这里$CONNTRACK_MAX是一个整数。

设置HASHSIZE
----------------

因为数学上的原因，哈西表占有固定的大小。因此HASHSIZE必须在哈西表被创建和开始填充之前就确定。

在linux内核2.4.21之前，必须使用素数作为哈西表的大小，而且要保证这个哈西表能够有效并通用。非素数的奇数或者其他的数值都是强烈不推荐使用的，因为这样哈西的分配不能达到最优化的状态。

从linux内核2.4.21（还有2.6内核）跟踪连接使用jenkins2b算法，这样就可以使用所有的数值，但是使用2^n次方运作的最有效。


如果netfilter的跟踪连接是被编译进内核中的，哈西表的大小就可以在编译的时候设置，或者（2.6内核之后）可以作为一个启动选项ip_conntrack.hashsize=$HASHSIZE。

如果netfilter的跟踪连接是编译成一个模块，哈西表的大小可以在加载模块的时候设置，使用下面的命令：
# modprobe ip_conntrack hashsize=$HASHSIZE

这里$HASHSIZE是一个整数。

一个理想的例子：只做防火墙的机器
------------------------------------

在理想的例子中，你有一台机器只做包过滤和NAT（也就是说，基本上没有用户空间的使用，至少不会有象代理这样会不断的耗费内存空间的东西......）

netfilter跟踪连接使用的内核内存大小是：
size_of_mem_used_by_conntrack (以bytes记) =
        CONNTRACK_MAX * sizeof(struct ip_conntrack) +
        HASHSIZE * sizeof(struct list_head)
－这里：sizeof(struct ip_conntrack)可以有很大的区别，依赖于机器的体系架构，内核版本和编译时间的配置。要想知道它的大小，可以查看ip_conntrack初始化时候kenel的日志信息。sizeof(struct ip_conntrack)在i386架构、2.6.5内核上大约是300bytes，但是在2.6.10的内核上，这个值可以在352至192bytes之间变化！
－sizeof(struct list_head) = 2 * size_of_a_pointer
  在i386上，size_of_a_pointer是4bytes。


因此在i386，2.6.5内核上，size_of_mem_used_by_conntrack大约是CONNTRACK_MAX * 300 + HASHSIZE * 8 (bytes)。

如果我们使HASHSIZE = CONNTRACK_MAX（如果我们将大部分的内存用来做防火墙的工作，参见“修改CONNTRACK_MAX和HASHSIZE”部分），在i386架构、2.6.5内核上，size_of_mem_used_by_conntrack大概是CONNTRACK_MAX * 308 bytes。

现在我们假定你使用512M的内存拿来做一个只做防火墙的机器，并且使用128MB以外的内存来做跟踪连接，对于使用终端模式只做防火墙来说应该是足够的大的，例如：
你可以同时设置CONNTRACK_MAX和HASHSIZE大致如下：
(512 - 128) * 1024^2 / 308 =~ 1307315 (instead of 32768 for CONNTRACK_MAX,
and 4096 for HASHSIZE by default)。
对于linux2.4.21（和linux2.6），哈西算法最好使用“2的次方”大小（之前是使用素数）。

因此在这里我们可以将CONNTRACK_MAX和HASHSIZE设置成1048576（2^20）。


这样，你可以存储默认值32倍的跟踪连接条目，而且可以得到更好的跟踪连接性能。

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
最后更新：2005年1月20日
修正历史：
Revision history:
0.6 Hashsize parameter can be set at boot time with Linux 2.6.  Thanks to
    Tobias Diedrich for pointing this out.
0.5 Added further notice about the varying length of the conntrack structure.
0.4 Since Linux 2.4.21, hash algorithm is happy with all sizes, not only
    prime ones.  However, power of 2 is best.
0.3 Various small precisions.
0.2 Information about Linux kernel versions and corresponding /proc entries.
    (/proc/sys/net/ipv4/netfilter/ip_conntrack_{max,buckets}).
0.1 Initial writing, largely based on my discussions with Harald Welte
    (netfilter maintainer) on the netfilter-devel mailing-list.  Many thanks
    to him!

ku1989
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Java语言Consistent Hash算法学习笔记（代码示例）
08-28
一致性哈希算法是一种分布式哈希表（Distributed Hash Table, DHT）的解决方案，它主要应用于分布式缓存、负载均衡等领域。在Java中，一致性哈希算法能够解决节点动态增减时，数据映射关系的稳定性和高效性问题。...
mysql ocp 5.6_SKY基于肖恩和ryanxu整理并添加部分解析 20160706.docx
12-28
2. **Hash和Linear分区的性能差异**：在同样数量级别的表上，哈希分区通常比线性分区更快，因为哈希分区基于哈希函数进行数据分布，而线性分区则按照顺序分配。哈希分区在插入新数据时可能更高效，但对范围查询的...
ip_conntrack_max和hash表
技术资料库
12-24 2385
http://bbs.chinaunix.net/viewthread.php?tid=596067昨天无意中发现了一篇文档，解决了我很久以来的一些问题，于是花了半天的时间把它翻译了一下，可是翻译的却不好，如果您的E文还好的话，建议您直接看原文更好。这是关于使用iptables来调优防火墙性能的一篇短文。谢谢freenode 上#debian-zh中的pnt_。原文地址： http://w
CONNTRACK_MAX和HASHSIZE
caoshunxin01的专栏
02-23 400
关于linux中的CONNTRACK_MAX和HASHSIZE要注意的地方   如果在压力测试的时候,并发数增大,但无法完成测试,可以尝试调整下参数:    vi /etc/sysctl.conf  在kernel2.6之前的添加项：  net.ipv4.netfilter.ip_conntrack_max = 655360  net.ipv4.netfilter.ip_conntr
ip_conntrack_max问题
ku1989的专栏
01-31 2263
－允许的最大跟踪连接条目，在这篇文档中我们叫作CONNTRACK_MAX －存储跟踪连接条目列表的哈西表的大小，在这篇文档中我们叫做HASHSIZE（下面是这个结构的描述） CONNTRACK_MAX是在内核内存中netfilter可以同时处理的“任务”（连接跟踪条目）。 一个跟踪连接的条目是存储在一个链接起来的列表的一个节点上，每个列表都是一个哈西表的元素。因此每个哈西表的条
linux ip_conntrack_max,ip_conntrack_max满导致无法建立链接
weixin_31363913的博客
05-06 950
一台访问量较高的服务器出现严重的丢包和无法建立链接的情况，已经确认数据中心网络没有问题，怀疑服务器自身出现问题。进入服务器发现网卡并没有error，内部运行的web服务均正常，但是仍然会出现断流和丢包现象，初步怀疑是在系统方面。一、执行demsg发现大量“VE0: nf_conntrack: table full, dropping packet.”的错误提示，确定是ip_conntrack跟踪连...
协议栈处理中的conntrack HASH查找/Bloom过滤/CACHE查找/大包与小包/分层处理风格
Netfilter
11-11 9057
1.路由CACHE的优势与劣势分级存储体系已经存在好多年了，其精髓在于“将最快的存储器最小化，将最慢的存储器最大化”，这样的结果就使资源利用率的最大化，既提高了访问效率，又节省了资源。这是所有的CACHE设计的基本原则。       对于内存访问，几乎所有的CPU都内置了一级cache，二级cache，亲和力好的几个核心甚至设计了三级cache乃至四级cache，然后才是物理内存，然后是经过精密优
MYSQL笔记_MYSQL_
10-03
MySQL是世界上最广泛使用的开源关系型数据库管理系统之一，尤其在构建云本地应用程序时，其灵活性、高效性和可扩展性使其成为开发者们的首选。本笔记将深入探讨MySQL的核心特性、安装配置、基本操作、优化策略以及...
MySQL高级优化_整理.docx
10-12
- **参数调整**：根据系统资源和应用需求调整MySQL的配置参数，如innodb_buffer_pool_size、max_connections、query_cache_size等。 - **内存调优**：确保足够的内存分配给MySQL，以缓存数据和索引，减少磁盘I/O。...
MySQL数据库优化教学探讨.pdf
10-10
- **并发处理**：调整最大连接数 max_connections，以及线程池大小，确保系统资源得到合理利用。 - **日志设置**：根据业务需求，调整慢查询日志阈值，以便追踪和优化低效查询。 4. **物理存储优化**： - **磁盘...
linux ip_conntrack_max,解?Linux NAT ip_conntrack: table full的方法
weixin_42465051的博客
05-06 283
解?Linux NAT ip_conntrack: table full的方法发布时间:2007-09-07 00:28:48来源:红联作者:DominSer原本Linux NAT用得好好的,没想到几天前却出现了无法上网的情况,而系统记录也出现了这样的讯息:ip_conntrack: table full, dropping packet.后来才知道, Linux NAT的ip_conntrack...
不要盲目增加ip_conntrack_max-理解Linux内核内存
系统运维
12-27 962
1.由ip_conntrack引出的Linux内存映射有很多文章在讨论关于ip_conntrack表爆满之后丢弃数据包的问题，对此研究深入一些的知道Linux有个内核参数ip_conntrack_max，在拥有较大内存的机器中默认65536，于是疯狂的增加这个参数，比如设置成10000…00，只要不报设置方面的错误，就一定要设置成最大值。这种方式实在是将软件看成大神了，殊不知软件的技术含量还不如锅...
linux 路由跟踪表 nf_conntrack 数据结构 参数 简介
whatday的专栏
06-05 2887
在内核中，连接跟踪表是一个二维数组结构的哈希表(hash table)，哈希表的大小记作HASHSIZE，哈希表的每一项(hash table entry)称作bucket，因此哈希表中有HASHSIZE个bucket存在，每个bucket包含一个链表(linked list)，每个链表能够存放若干个conntrack条目(bucket size)。需要明确的是，nf_conntrack 模块并不是所有 Linux 内核都会加载，最常见的导致加载该模块的原因是使用了 iptables、lvs 等内核态 NA
linux 增加 ip_conntrack_max 造成 内核内存问题
whatday的专栏
02-18 288
1.由ip_conntrack引出的Linux内存映射 有很多文章在讨论关于ip_conntrack表爆满之后丢弃数据包的问题，对此研究深入一些的知道Linux有个内核参数ip_conntrack_max，在拥有较大内存的机器中默认65536，于是疯狂的增加这个参数，比如设置成10000…00，只要不报设置方面的错误，就一定要设置成最大值。这种方式实在是将软件看成大神了，殊不知软件的技术含量还不...
kubernetes工作原理（二）－iptables
CodeAsWind
03-09 3148
前言 虚拟化的网络可以自由的在本地进行基于单机的网络配置或者借助一些互联技术(underlay、overlay或者点对点技术)在虚拟网络内部空间实现跨节点和数据中心的网络互联，但是如果虚拟网络内部的服务要对外进行暴露，就不得不借助地址转换或者端口转换等数据包修改技术。而在现有的container管理框架中，iptables更是承担了服务暴露和服务后端负载均衡等功能，是诸如kubernetes、O...
TCP最大连接数调优
FanGer的博客
12-25 2073
全连接队列=min（somaxconn，backlog），所谓全连接，是指服务端已经收到客户端三次握手第三步的ACK，然后就会把这个连接放到全连接队列中，全连接队列中的连接还需要被 accept()系统调用取走，服务端应用才可以开始处理客户端的请求，建议适当调大，全连接队列溢出观察方法：netstat -s | grep “listen queue”当全连接队列满了之后，新的连接就会被丢弃掉。，所以端口号的范围只有0~65535，其中0-1024是预留端口号，不可使用，其他的端口都是可以使用的。
linux ip_conntrack_max,ip_conntrack_max 参数的修改方法及 卸载linux内核的 ip_conntrack 模块...
weixin_34927903的博客
05-06 579
一、概念－允许的最大跟踪连接条目：CONNTRACK_MAX(默认值是 2^16=65536 )－存储跟踪连接条目列表的哈西表的大小：HASHSIZE－每个哈西表的条目(叫一个bucket)，包含了一个链接起来的跟踪连接条目－哈希表大小HASHSIZE，表现为 条目bucket的多少，在iptables启动时在日志中会显示。图表形象解释： 例如，系统默认配置下，启动 iptables 时的信息如下...
关于linux中的CONNTRACK_MAX和HASHSIZE要注意的地方
jackyrongvip的专栏
08-24 363
如果在压力测试的时候,并发数增大,但无法完成测试,可以尝试调整下参数: vi /etc/sysctl.conf 在kernel2.6之前的添加项： net.ipv4.netfilter.ip_conntrack_max = 655360 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180 kernel...
proxy_headers_hash_max_size
最新发布
09-15
proxy_headers_hash_max_size是Nginx配置文件中用于存放HTTP报文头的哈希表的容量的一个参数。默认情况下，它的值为空，表示使用默认容量。如果你在Nginx配置文件中遇到了"emerg: could not build the proxy_headers_hash"的错误提示，可以尝试增加proxy_headers_hash_max_size的值来解决该问题。你可以在配置文件中新增以下配置项来设置proxy_headers_hash_max_size的值： proxy_headers_hash_max_size 512; 通过将该参数设置为512，你可以增加哈希表的容量，从而解决"emerg: could not build the proxy_headers_hash"的错误。请确保在修改配置文件之后重新加载Nginx以使更改生效。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值