nf_conntrack满之解决方法

转载 2018年04月16日 17:15:51
vim /var/log/message报错
nf_conntrack: table full, dropping packet

先关掉iptables
/etc/init.d/iptables stop

查看当前的连接数:
# grep nf_conntrack /proc/slabinfo

查出目前 nf_conntrack 的排名:
$ cat /proc/net/nf_conntrack | cut -d ' ' -f 10 | cut -d '=' -f 2 | sort | uniq -c | sort -nr | head -n 10

优化参数
状态跟踪表的最大行数的设定,理论最大值 CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32) 
以64G的64位操作系统为例,CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152 

即时生效请执行: 
sysctl –w net.netfilter.nf_conntrack_max = 524288  (16G)

其哈希表大小通常为总表的1/8,最大为1/2。CONNTRACK_BUCKETS = CONNTRACK_MAX / 8 
同样64G的64位操作系统,哈希最佳范围是 262144 ~ 1048576 。 

运行状态中通过 sysctl net.netfilter.nf_conntrack_buckets 进行查看,通过文件 /sys/module/nf_conntrack/parameters/hashsize 进行设置 
或者新建 /etc/modprobe.d/iptables.conf ,重新加载模块才生效: 
options nf_conntrack hashsize = 262144

还有些相关的系统参数`sysctl -a | grep nf_conntrack`可以调优(/etc/sysctl.conf ): 
net.netfilter.nf_conntrack_max  =   1048576   
net.netfilter.ip_conntrack_tcp_timeout_established  =   3600   
net.netfilter.nf_conntrack_tcp_timeout_close_wait  =   60   
net.netfilter.nf_conntrack_tcp_timeout_fin_wait  =

nf_conntrack: table full, dropping packet 连接跟踪表已满,开始丢包 的解决办法

nf_conntrack: table full, dropping packet 连接跟踪表已满,开始丢包 的解决办法中午业务说机器不能登录,我通过USM管理界面登录单板的时候发现机器没有僵死,然...
  • yangkainn
  • yangkainn
  • 2016-04-19 17:41:29
  • 3428

利用nf_conntrack机制存储路由,省去每包路由查找

IP是无连接的,因此IP路由是每包一路由的,数据包通过查找路由表获取路由,这是现代操作协议协议栈IP路由的默认处理方式。但是如果协议栈具有流识别能力,是不是可以基于流来路由呢?答案无疑是肯定的。设计思...
  • dog250
  • dog250
  • 2014-04-19 11:57:45
  • 4280

linux 下 nf_conntrack_tuple 跟踪记录

#include #include #include #include #include #include #include #include #include #include ...
  • suiyuan19840208
  • suiyuan19840208
  • 2013-05-20 21:57:26
  • 4710

nf_conntrack: table full, dropping packet解决方法

在添加magent代理后,做memcached测试的发现,如果并发很高,数据库的连接数居高不下,按理讲随着将key存入缓存中,连接数应该慢慢降下来才对,但是当并发低的时候却很正常。 由于在启动mem...
  • yanggd1987
  • yanggd1987
  • 2015-05-21 09:16:28
  • 5306

nf_conntrack:table full 引发的问题

最近由于网站流量异常,经排查网站日志发现有大量的恶意访问,导致/var/log/messages日志报错“nf_conntrack:table full,drop packet”。 究其原因:nf_...
  • yanggd1987
  • yanggd1987
  • 2017-02-08 11:24:40
  • 1301

kernel: nf_conntrack: table full, dropping packet解决办法

http://blog.sina.com.cn/s/blog_541a3cf10101b3bj.html 昨天上线cache后,防火墙高峰报道2W5有些不对劲,检查系统日志发现 ...
  • redmoon729
  • redmoon729
  • 2014-04-04 17:40:00
  • 1258

再次深入到ip_conntrack的conntrack full问题

增加nf_conntrack_max固然可以缓解这个问题,或者说减小conntrack表项占据内核内存的时间也可以缓解之,然而这种补救措施都是治标不治本的.注解:不要过度减小NEW以及TCP的esta...
  • dog250
  • dog250
  • 2012-02-15 21:48:47
  • 14558

kernel nf_conntrack: table full, dropping packet 解决办法

kernel nf_conntrack: table full, dropping packet 解决办法 Posted on 2012-02-09 by york_gu 最近很长一段...
  • susubuhui
  • susubuhui
  • 2016-04-12 15:51:46
  • 2598

iptables查询自动加载nf_conntrack模块引起故障

背景: ip_conntrack是linux NAT的一个跟踪连接条目的模块,与Iptables相关,ip _conntrack模块会使用一个哈希表记录 tcp 通讯协议的 established c...
  • heshan307
  • heshan307
  • 2017-02-21 22:45:28
  • 722

oracle临时表空间满解决步骤

oracle临时表空间满解决步骤
  • aicon
  • aicon
  • 2010-07-28 16:27:00
  • 1613
收藏助手
不良信息举报
您举报文章:nf_conntrack满之解决方法
举报原因:
原因补充:

(最多只允许输入30个字)