1：第一坑：众所周知nf_conntrack，下面会有介绍补坑方法。

2：连环坑：

要解决第一个坑，需要修改内核参数，如：

net.netfilter.nf_conntrack_tcp_timeout_established = 600    

net.netfilter.nf_conntrack_max = 1048576

net.nf_conntrack_max = 1048576


这几个参数是基于nf_conntrack模块的，如果nf_conntrack在系统中没有被加载，则上面三个选项就恢复成默认值。

/etc/init.d/iptables stop这个命令会将nf_conntrack模块移除，运行stop命令后使用sysctl -a 你会发现nf_conntrack的三个选项恢复成了默认值。

然后你再一次启动/etc/init.d/iptables start ,而此时nf_conntrack还是保持默认值。系统大量报错。。。介，介，介，你踩到iptables精心设计的“连环坑”。


修改：

NF_MODULES_COMMON=(x_tables nf_nat nf_conntrack) # Used by netfilter v4 and v6

为

NF_MODULES_COMMON=(x_tables nf_nat) # Used by netfilter v4 and v6

即可。


对于“连环坑”，遇到是有条件的：

即是：系统中不存在ipv6包

因为nf_conntrack_ipv6 是依赖nf_conntrack的，这样iptables脚本使用modprobe -r nf_conntrack 卸载不掉该模块，就不会恢复nf_conntrack默认值


3:自埋坑

在上面“连环坑”中，我们通过修改/etc/init.d/iptables的脚本配置，stop时候不卸载nf_conntrack模块，解决不会恢复nf_conntrack默认值的问题。今天就遭此一坑。

我们线上的中间件服务器的访问量非常巨大，使用nf_conntrack_max = 1048576参数后，瞬间跑满。请求无法到达1.31，按照以前的方法我执行/etc/init.d/iptables stop，而因为我修改了脚本stop的时候，不会移除nf_conntrack模块，悲剧了。而此时，我们手动移除modprobe -r nf_conntrack 报错"模块正在使用"。。。  情急之下我卸载了iptables, 模块依旧存在，于是修改了内核参数：net.nf_conntrack_max = 10485760 刚开始正常，过一会，机器直接重启。。。

如此看来,修改/etc/init.d/iptables 中的NF_MODULES_COMMON选项是不正确的，这样会导致出问题的时候，你执行/etc/init.d/iptables stop都不会好转。我们必须想别的途径。


我们分析iptables启动过程：

执行iptables start --->启动nf_conntrack模块 ---> 应用iptables策略。

执行iptables stop --->卸载nf_conntrack模块（sysctl的nf_conntrack 选项恢复默认值)--->停止iptables 进程 


我们之前的解决方案是：

执行iptables start --->启动nf_conntrack模块 ---> 应用iptables策略。

执行iptables stop --->停止iptables 进程  (不卸载nf_conntrack)



最后的解决方案：

执行iptables stop --->卸载nf_conntrack模块（sysctl的nf_conntrack 选项恢复默认值)--->停止iptables 进程 

执行iptables start --->启动nf_conntrack模块 （加载/etc/sysctl中的配置）---> 应用iptables策略。


方法是：

sed -ri 's/IPTABLES_SYSCTL_LOAD_LIST=.*/IPTABLES_SYSCTL_LOAD_LIST="net.nf_conntrack"/g' /etc/init.d/iptables


最后，奉劝诸位同学，对于大流量大并发的机器。放弃对nf_conntrack的引用才是正解。当kenel的nf_conntrack参数的值设置不合理当执行/etc/init.d/iptables stop时候直接会导致机器重启，介，我亲身经历过！


方法一：删除连接跟踪模块`lsmod | grep nf_conntrack`，不使用连接状态的跟踪功能。

rmmod nf_conntrack_ipv4 
rmmod nf_conntrack_ipv6 
rmmod xt_state 
rmmod xt_CT 
rmmod xt_conntrack 
rmmod iptable_nat 
rmmod ipt_REDIRECT 
rmmod nf_nat 
rmmod nf_conntrack


# 禁用 nf_conntrack 模块 
blacklist nf_conntrack 
blacklist nf_conntrack_ipv6 
blacklist xt_conntrack 
blacklist nf_conntrack_ftp 
blacklist xt_state 
blacklist iptable_nat 
blacklist ipt_REDIRECT 
blacklist nf_nat 
blacklist nf_conntrack_ipv4


方法二：

使用祼表，添加“不跟踪”标识。


iptables -t raw -A PREROUTING -p tcp -m tcp --dport 8983 -j NOTRACK

iptables -t raw -A OUTPUT -p tcp -m tcp --sport 8983 -j NOTRACK

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 8983 -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED,UNTRACKED -j ACCEPT

或者，直接将所有访问，忽略跟踪：

iptables -t raw -A PREROUTING -p tcp -j NOTRACK

iptables -t raw -A PREROUTING -p udp -j NOTRACK

iptables -t raw -A OUTPUT -p tcp -j NOTRACK

iptables -t raw -A OUTPUT -p udp -j NOTRACK


参考：

http://my.oschina.net/kisops/blog/150995