nf_conntrack: table full, dropping packet 解决方案

“连接跟踪表已满,开始丢包”!相信不少用iptables的同学都会见过这个错误信息吧,这个问题曾经也困扰过我好长一段时间。此问题的解决办法有四种(nf_conntrack 在CentOS 5 / kernel <= 2.6.19中名为 ip_conntrack ):

一、关闭防火墙。 简单粗暴,直接有效

chkconfig iptables off 
chkconfig ip6tables off 
service iptables stop 
service ip6tables stop
  切记:在防火墙关闭状态下,不要通过iptables指令(比如 iptables -nL)来查看当前状态!因为这样会导致防火墙被
  启动,而且规则为空。虽然不会有任何拦截效果,但所有连接状态都会被记录,浪费资源且影响性能并可能导致防火墙主动丢包!

二、加大防火墙跟踪表的大小,优化对应的系统参数

1、状态跟踪表的最大行数的设定,理论最大值 CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32)

以64G的64位操作系统为例,CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152

即时生效请执行:

sysctl –w net.netfilter.nf_conntrack_max = 2097152

2、其哈希表大小通常为总表的1/8,最大为1/2。CONNTRACK_BUCKETS = CONNTRACK_MAX / 8

同样64G的64位操作系统,哈希最佳范围是 262144 ~ 1048576 。

运行状态中通过 sysctl net.netfilter.nf_conntrack_buckets 进行查看,通过文件 /sys/module/nf_conntrack/parameters/hashsize 进行设置

或者新建 /etc/modprobe.d/iptables.conf ,重新加载模块才生效:

options nf_conntrack hashsize = 262144

3、还有些相关的系统参数`sysctl -a | grep nf_conntrack`可以调优(/etc/sysctl.conf ):

net.netfilter.nf_conntrack_max  =   1048576  
net.netfilter.ip_conntrack_tcp_timeout_established  =   3600  
net.netfilter.nf_conntrack_tcp_timeout_close_wait  =   60  
net.netfilter.nf_conntrack_tcp_timeout_fin_wait  =   120  
net.netfilter.nf_conntrack_tcp_timeout_time_wait  =   120

三、使用祼表,添加“不跟踪”标识。如下示例更适合桌面系统或随意性强的服务器。因为它开启了连接的状态机制,方便和外部通信。修改 /etc/sysconfig/iptables 文件:

*raw 
# 对TCP连接不启用追踪,解决ip_contrack满导致无法连接的问题 
-A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK -A PREROUTING -p tcp -m tcp --dport 22 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 21 -j NOTRACK -A PREROUTING -p tcp -m tcp --dport 11211 -j NOTRACK
 -A PREROUTING -p tcp -m tcp --dport 60000:60100 -j NOTRACK -A PREROUTING -p tcp -s 192.168.10.1 -j 
 NOTRACK -A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK -A OUTPUT -p tcp -m tcp --sport 22 -j NOTRACK
  -A OUTPUT -p tcp -m tcp --sport 21 -j NOTRACK -A OUTPUT -p tcp -m tcp --sport 11211 -j NOTRACK -A
   OUTPUT -p tcp -m tcp --sport 60000:60100 -j NOTRACK -A OUTPUT -p tcp -s 192.168.10.1 -j NOTRACK
    COMMIT 
*filter 
# 允许ping 
-A INPUT -p icmp -j ACCEPT # 对本地回路、第5张网卡放行 
-A INPUT -i lo -j ACCEPT -A INPUT -i eth4 -j ACCEPT # 连接状态跟踪,已建立的连接允许传输数据 
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT # filter表里存在但在raw里不
存在的,默认会进行连接状态跟踪 
-A INPUT -s 192.168.10.31 -p tcp --dport 2669 -j ACCEPT -A INPUT -j REJECT --reject-with 
icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT

或者干脆对所有连接都关闭跟踪,不跟踪任何连接状态。不过规则就限制比较严谨,进出都需要显式申明。示例 /etc/sysconfig/iptables :

*raw
# 对TCP/UDP连接不启用追踪,解决nf_contrack满导致无法连接的问题
-A PREROUTING -p tcp -j NOTRACK-A PREROUTING -p udp -j NOTRACK-A OUTPUT -p tcp -j NOTRACK-A OUTPUT 
-p udp -j NOTRACKCOMMIT
*filter
# 允许ping
-A INPUT -p icmp -j ACCEPT# 对本地回路和eth1放行
-A INPUT -i lo -j ACCEPT-A INPUT -i eth1 -j ACCEPT# 只允许符合条件的连接进行传输数据
-A INPUT -p tcp --dport 22 -j ACCEPT-A INPUT -p tcp --sport 80 -j ACCEPT-A INPUT -p udp --sport 53 -j
 ACCEPT-A INPUT -p udp --sport 123 -j ACCEPT# 出去的包都不限制
-A OUTPUT -p tcp -j ACCEPT-A OUTPUT -p udp -j ACCEPT# 输入和转发的包不符合规则的全拦截
-A INPUT -j REJECT --reject-with icmp-host-prohibited-A FORWARD -j REJECT --reject-with 
icmp-host-prohibitedCOMMIT

四、删除连接跟踪模块`lsmod | grep nf_conntrack`,不使用连接状态的跟踪功能。

  1、删除nf_conntrack和相关的依赖模块,示例:
rmmod nf_conntrack_ipv4 
rmmod nf_conntrack_ipv6 
rmmod xt_state 
rmmod xt_CT 
rmmod xt_conntrack 
rmmod iptable_nat 
rmmod ipt_REDIRECT 
rmmod nf_nat 
rmmod nf_conntrack
  2、禁用跟踪模块,把它加到黑名单(/etc/modprobe.d/blacklist.conf ):
# 禁用 nf_conntrack 模块 blacklist nf_conntrack 
blacklist nf_conntrack_ipv6 
blacklist xt_conntrack 
blacklist nf_conntrack_ftp 
blacklist xt_state 
blacklist iptable_nat 
blacklist ipt_REDIRECT 
blacklist nf_nat 
blacklist nf_conntrack_ipv4
  3、去掉防火墙里所有和状态相关的配置(比如state状态,NAT功能),示例:
*filter 
# 允许ping 
-A INPUT -p icmp -j ACCEPT # 对本地回路和第2张网卡放行 
-A INPUT -i lo -j ACCEPT -A INPUT -i eth1 -j ACCEPT # 对端口放行 
-A INPUT -p tcp --dport 1331 -j ACCEPT # 对IP放行 
-A INPUT -s 192.168.10.31 -j ACCEPT 
#允许本机进行DNS查询
 
-A INPUT -p udp --sport 53 -j ACCEPT-A OUTPUT -p udp -j ACCEPT-A INPUT -j REJECT --reject-with 
icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT
    另外,防火墙的配置文件最好也改下,不要加载任何额外模块(/etc/sysconfig/iptables-config):
IPTABLES_MODULES="" 
# 不需要任何附加模块IPTABLES_MODULES_UNLOAD="no" # 避免iptables重启后sysctl中对应的参数被重置为系统
默认值IPTABLES_SAVE_ON_STOP="no"IPTABLES_SAVE_ON_RESTART="no"IPTABLES_SAVE_COUNTER=
"no"IPTABLES_STATUS_NUMERIC="yes"IPTABLES_STATUS_VERBOSE="no"IPTABLES_STATUS_LINENUMBERS="no"
    往往我们对连接的跟踪都是基于操作系统的(netstat / ss ),防火墙的连接状态完全是它自身实现产生的。
    总结:防火墙有条件还是交给上层设备完成会更好,使用防火墙一定要做调优;如果不需要防火墙的跟踪功能,规则简单
    的可以开启NOTRACK选项,条件允许的情况下就删除它吧!

效果如下图:

时间: 2024-11-05 10:07:12

nf_conntrack: table full, dropping packet 解决方案的相关文章

[转]nf_conntrack: table full, dropping packet 连接跟踪表已满,开始丢包 的解决办法

nf_conntrack: table full, dropping packet  连接跟踪表已满,开始丢包 的解决办法 中午业务说机器不能登录,我通过USM管理界面登录单板的时候发现机器没有僵死,然后一看日志,g一下子就明白了 tail -2000 /var/log/messages Apr 10 12:48:35 bj-push-pushserver83 kernel: [95129.138804] __ratelimit: 16523 callbacks suppressed (“连接跟

nf_conntrack: table full, dropping packet解决方法

在添加magent代理后,做memcached测试的发现,如果并发很高,数据库的连接数居高不下,按理讲随着将key存入缓存中,连接数应该慢慢降下来才对,但是当并发低的时候却很正常. 由于在启动memcached时,加入了-vvv参数打印内部状态信息,查看日志: 29: going from conn_parse_cmd to conn_write 29: going from conn_write to conn_new_cmd 29: going from conn_new_cmd to co

kernel nf_conntrack: table full, dropping packet 解决办法

今天通过zabbix监控发现,有一台服务器出现网络不稳定,zabbix图像断流,随之,登录服务器经过排查,发现/var/log/messages中出现大量kernel nf_conntrack: table full, dropping packet . 解决方法如下. 对ip_conntrack的两个参数进行设置即可,不过在centos上,需要这样设置: centos5 1 2 3 4 5 vi /etc/sysctl.conf net.ipv4.netfilter.ip_conntrack_

linux云主机cpu一直很高降不下来,系统日志报nf_conntrack: table full, dropping packet.

在启用了iptables web服务器上,流量高的时候经常会出现下面的错误: ip_conntrack: table full, dropping packet 这个问题的原因是由于web服务器收到了大量的连接,在启用了iptables的情况下,iptables会把所有的连接都做链接跟踪处理,这样iptables就会有一个链接跟踪表,当这个表满的时候,就会出现上面的错误. iptables的链接跟踪表最大容量为/proc/sys/net/ipv4/ip_conntrack_max,链接碰到各种状

ip_conntrack table full dropping packet解决方案

在一台繁忙的服务器上,建议关闭ip_conntrack模块的加载: 当我们开启iptables后,会有这么个现象发生,丢包.ping的话会断断续续的丢包,ifconfig 会看到网卡dropped:XXX一直在增加,messages日志有以下内容: ip_conntrack表满导致的,iptables开启后会加载ip_conntrack模块,来跟踪包.默认情况下ip_conntrack_max大小为65536. iptables导致ftp列表失败一例参见:pureftp读取目录列表失败解决 查看

解决nf_conntrack: table full, dropping packet问题

echo "6553500" > /proc/sys/net/nf_conntrack_max iptables -t raw -A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK iptables -t raw -A OUTPUT -p tcp -m tcp --dport 80 -j NOTRACK 原理:http://jerrypeng.me/2014/12/08/dreadful-nf-conntrack-table-full

table full, dropping packet.

系统日志/var/log/messages出现以下内容 Jan 31 16:46:41 ahmobileblivemedia02 kernel: nf_conntrack: table full, dropping packet. Jan 31 16:46:41 ahmobileblivemedia02 kernel: nf_conntrack: table full, dropping packet. Jan 31 16:46:41 ahmobileblivemedia02 kernel: n

kernel: ip_conntrack: table full, dropping packet.

解决方法: 1. 更改ip_conntrack大小 # /etc/sysctl.conf Centos5.x: modprobe ip_conntrack sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=10800 sysctl -w net.ipv4.netfilter.ip_conntrack_max=655350 Centos6.x: nf_conntrack_ipv4 sysctl -w net.netf

ip_conntrack table full dropping packet错误的解决方法

ip_conntrack表满导致的,iptables开启后会加载ip_conntrack模块,来跟踪包.默认情况下ip_conntrack_max大小为65536. 查看ip_conntrack最大大小: # cat /proc/sys/net/ipv4/ip_conntrack_max 查看当前ip_conntrack大小: wc -l /proc/net/ip_conntrack 解决方法:更改ip_conntrack大小 # /etc/sysctl.conf net.ipv4.netfil