linux的netfilter,Linux增加Netfilter的链路追踪数

1. 调整内核参数 nf_conntrack_buckets 和 net.netfilter.nf_conntrack_max

nf_conntrack_buckets，size of hash table，范围为[32, 16384]。如果未指定，则系统根据公式计算得出此值，主机内存在4GB以上的，设置为65535，相当于使用1GB内存。公式为Total Memory/16384。

net.netfilter.nf_conntrack_max，Size of connection tracking table，默认值为nf_conntrack_buckets * 4。

以上2个值，对于128GB内存主机而言，不同操作系统计算结果不同。

CentOS 6.x/CentOS 7.3以下默认为16384/65535。CentOS 7.6中为65535/262144。如果/var/log/messages中出现nf_conntrack超出的error，增加net.netfilter.nf_conntrack_max即可，x2倍。

临时调整

/sbin/sysctl -w net.netfilter.nf_conntrack_max=524288

永久调整

在/etc/sysctl.d目录下，创建配置文件，将需要调整的参数加入其中即可。配置文件名格式为-.conf。appname可以直接用应用系统运行时的os用户名。

执行以下命令，使之生效。替换掉命令中的文件名。

/sbin/sysctl -p /etc/sysctl.d/-.conf

例如：

cat << EOF > /etc/sysctl.d/101-ichat.conf

#file-max，Linux可以分配的最大fd数量。

net.netfilter.nf_conntrack_max=524288

EOF

2. 查看当前数量

cat /proc/net/nf_conntrack

脚本：

#!/bin/bash

currentLink=$(sudo /bin/cat/proc/net/nf_conntrack | /usr/bin/wc -l)

totalLink=$(/bin/cat/proc/sys/net/netfilter/nf_conntrack_max)

restLink=$[$totalLink-$currentLink]

case $1 in

max)

echo $totalLink

;;

used)

echo $currentLink

;;

idle)

echo $restLink

esac

3. 不跟踪某些特性的连接，节约conntrack

//不跟踪web服务的链接

iptables -t raw -A PREROUTING -p tcp--dport 80 -j NOTRACK

iptables -t raw -A OUTPUT -p tcp --sport80 -j NOTRACK

//不跟踪本地内的所有链接

iptables -t raw -A PREROUTING -i lo -jNOTRACK

iptables -t raw -A OUTPUT -o lo -jNOTRACK