linux网络错误nf_conntrack:tablefull,droppingpacket.路由跟踪表满

 “连接跟踪表已满&＃xff0c;开始丢包”&＃xff01;相信不少用iptables的同学都会见过这个错误信息吧&＃xff0c;这个问题曾经也困扰过我好长一段时间。此问题的解决办法有四种&＃xff08;nf_conntrack 在CentOS 5 / kernel <&＃61; 2.6.19中名为 ip_conntrack &＃xff09;&＃xff1a;

一、关闭防火墙。 简单粗暴&＃xff0c;直接有效

chkconfig iptables off 
chkconfig ip6tables off 
service iptables stop 
service ip6tables stop 

 切记&＃xff1a;在防火墙关闭状态下&＃xff0c;不要通过iptables指令&＃xff08;比如 iptables -nL&＃xff09;来查看当前状态&＃xff01;因为这样会导致防火墙被启动&＃xff0c;而且规则为空。虽然不会有任何拦截效果&＃xff0c;但所有连接状态都会被记录&＃xff0c;浪费资源且影响性能并可能导致防火墙主动丢包&＃xff01;

二、加大防火墙跟踪表的大小&＃xff0c;优化对应的系统参数

  1、状态跟踪表的最大行数的设定&＃xff0c;理论最大值 CONNTRACK_MAX &＃61; RAMSIZE (in bytes) / 16384 / (ARCH / 32)

    以64G的64位操作系统为例&＃xff0c;CONNTRACK_MAX &＃61; 64*1024*1024*1024/16384/2 &＃61; 2097152

    即时生效请执行&＃xff1a;

sysctl –w net.netfilter.nf_conntrack_max &＃61; 2097152

  2、其哈希表大小通常为总表的1/8&＃xff0c;最大为1/2。CONNTRACK_BUCKETS &＃61; CONNTRACK_MAX / 8

    同样64G的64位操作系统&＃xff0c;哈希最佳范围是 262144 ~ 1048576 。

    运行状态中通过 sysctl net.netfilter.nf_conntrack_buckets 进行查看&＃xff0c;通过文件 /sys/module/nf_conntrack/parameters/hashsize 进行设置

    或者新建 /etc/modprobe.d/iptables.conf &＃xff0c;重新加载模块才生效&＃xff1a;

options nf_conntrack hashsize &＃61; 262144

  3、还有些相关的系统参数&＃96;sysctl -a | grep nf_conntrack&＃96;可以调优&＃xff08;/etc/sysctl.conf &＃xff09;&＃xff1a;

net.netfilter.nf_conntrack_max  &＃61;   1048576  
net.netfilter.ip_conntrack_tcp_timeout_established  &＃61;   3600  
net.netfilter.nf_conntrack_tcp_timeout_close_wait  &＃61;   60  
net.netfilter.nf_conntrack_tcp_timeout_fin_wait  &＃61;   120  
net.netfilter.nf_conntrack_tcp_timeout_time_wait  &＃61;   120 

三、使用祼表&＃xff0c;添加“不跟踪”标识。如下示例更适合桌面系统或随意性强的服务器。因为它开启了连接的状态机制&＃xff0c;方便和外部通信。修改 /etc/sysconfig/iptables 文件&＃xff1a;

*raw 
# 对TCP连接不启用追踪&＃xff0c;解决ip_contrack满导致无法连接的问题 
-A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 22 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 21 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 11211 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 60000:60100 -j NOTRACK 
-A PREROUTING -p tcp -s 192.168.10.1 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 22 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 21 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 11211 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 60000:60100 -j NOTRACK 
-A OUTPUT -p tcp -s 192.168.10.1 -j NOTRACK 
COMMIT 
*filter 
# 允许ping 
-A INPUT -p icmp -j ACCEPT 
# 对本地回路、第5张网卡放行 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth4 -j ACCEPT 
# 连接状态跟踪&＃xff0c;已建立的连接允许传输数据 
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT 
# filter表里存在但在raw里不存在的&＃xff0c;默认会进行连接状态跟踪 
-A INPUT -s 192.168.10.31 -p tcp --dport 2669 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT

或者干脆对所有连接都关闭跟踪&＃xff0c;不跟踪任何连接状态。不过规则就限制比较严谨&＃xff0c;进出都需要显式申明。示例 /etc/sysconfig/iptables &＃xff1a;

*raw
# 对TCP/UDP连接不启用追踪&＃xff0c;解决nf_contrack满导致无法连接的问题
-A PREROUTING -p tcp -j NOTRACK
-A PREROUTING -p udp -j NOTRACK
-A OUTPUT -p tcp -j NOTRACK
-A OUTPUT -p udp -j NOTRACK
COMMIT
*filter
# 允许ping
-A INPUT -p icmp -j ACCEPT
# 对本地回路和eth1放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
# 只允许符合条件的连接进行传输数据
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --sport 80 -j ACCEPT
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --sport 123 -j ACCEPT
# 出去的包都不限制
-A OUTPUT -p tcp -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
# 输入和转发的包不符合规则的全拦截
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

  效果如下图&＃xff1a;

四、删除连接跟踪模块&＃96;lsmod | grep nf_conntrack&＃96;&＃xff0c;不使用连接状态的跟踪功能。

  1、删除nf_conntrack和相关的依赖模块&＃xff0c;示例&＃xff1a;

rmmod nf_conntrack_ipv4 
rmmod nf_conntrack_ipv6 
rmmod xt_state 
rmmod xt_CT 
rmmod xt_conntrack 
rmmod iptable_nat 
rmmod ipt_REDIRECT 
rmmod nf_nat 
rmmod nf_conntrack

  2、禁用跟踪模块&＃xff0c;把它加到黑名单&＃xff08;/etc/modprobe.d/blacklist.conf &＃xff09;&＃xff1a;

# 禁用 nf_conntrack 模块 
blacklist nf_conntrack 
blacklist nf_conntrack_ipv6 
blacklist xt_conntrack 
blacklist nf_conntrack_ftp 
blacklist xt_state 
blacklist iptable_nat 
blacklist ipt_REDIRECT 
blacklist nf_nat 
blacklist nf_conntrack_ipv4

  3、去掉防火墙里所有和状态相关的配置&＃xff08;比如state状态&＃xff0c;NAT功能&＃xff09;&＃xff0c;示例&＃xff1a;

*filter 
# 允许ping 
-A INPUT -p icmp -j ACCEPT 
# 对本地回路和第2张网卡放行 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth1 -j ACCEPT 
# 对端口放行 
-A INPUT -p tcp --dport 1331 -j ACCEPT 
# 对IP放行 
-A INPUT -s 192.168.10.31 -j ACCEPT#允许本机进行DNS查询-A INPUT -p udp --sport 53 -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT

    另外&＃xff0c;防火墙的配置文件最好也改下&＃xff0c;不要加载任何额外模块&＃xff08;/etc/sysconfig/iptables-config&＃xff09;&＃xff1a;

IPTABLES_MODULES&＃61;"" # 不需要任何附加模块
IPTABLES_MODULES_UNLOAD&＃61;"no" # 避免iptables重启后sysctl中对应的参数被重置为系统默认值
IPTABLES_SAVE_ON_STOP&＃61;"no"
IPTABLES_SAVE_ON_RESTART&＃61;"no"
IPTABLES_SAVE_COUNTER&＃61;"no"
IPTABLES_STATUS_NUMERIC&＃61;"yes"
IPTABLES_STATUS_VERBOSE&＃61;"no"
IPTABLES_STATUS_LINENUMBERS&＃61;"no"

    往往我们对连接的跟踪都是基于操作系统的&＃xff08;netstat / ss &＃xff09;&＃xff0c;防火墙的连接状态完全是它自身实现产生的。

    总结&＃xff1a;防火墙有条件还是交给上层设备完成会更好&＃xff0c;使用防火墙一定要做调优&＃xff1b;如果不需要防火墙的跟踪功能&＃xff0c;规则简单的可以开启NOTRACK选项&＃xff0c;条件允许的情况下就删除它吧&＃xff01;