nf_conntrack: table full, dropping packet
nf_conntrack: table full, dropping packet 連接跟蹤表已滿,開始丟包 的解決辦法
通過網上的一些解決方案和自己實踐整理。原筆記地址
https://app.yinxiang.com/shard/s20/nl/2313278/34844067-6ff4-4091-adb0-36bc25fbfad8?title=nf_conntrack%3A%20table%20full%2C%20dropping%20packet
一、關閉防火牆。 簡單粗暴,直接有效
#/etc/init.d/iptables stop centos
#/etc/init.d/SuSEfirewall2_setup stop suse
切記:在防火牆關閉狀態下,不要通過iptables指令(比如 iptables -nL)來查看當前狀態!因爲這樣會導致防火牆被啓動,而且規則爲空。雖然不會有任何攔截效果,但所有連接狀態都會被記錄,浪費資源且影響性能並可能導致防火牆主動丟包!
二、加大防火牆跟蹤表的大小,優化對應的系統參數
1、狀態跟蹤表的最大行數的設定,理論最大值
CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32)
以64G的64位操作系統爲例
CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152
即時生效請執行:
sysctl -w net.netfilter.nf_conntrack_max = 2100000
或者
vi /etc/sysctl.conf
net.netfilter.nf_conntrack_max = 2100000
sysctl -p
2、其哈希表大小通常爲總表的1/8,最大爲1/2。
CONNTRACK_BUCKETS = CONNTRACK_MAX / 8
同樣64G的64位操作系統,哈希最佳範圍是 262144 ~ 1048576 。
運行狀態中查看
sysctl net.netfilter.nf_conntrack_buckets
通過文件 /sys/module/nf_conntrack/parameters/hashsize 進行設置。
或者新建 /etc/modprobe.d/iptables.conf,重新加載模塊才生效:
options nf_conntrack hashsize=262144
3、還有些相關的系統參數`sysctl -a | grep nf_conntrack`可以調優(/etc/sysctl.conf ):
net.netfilter.nf_conntrack_max = 1048576
net.netfilter.ip_conntrack_tcp_timeout_established = 3600
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
三、使用raw表,添加“不跟蹤”標識。如下示例更適合桌面系統或隨意性強的服務器。因爲它開啓了連接的狀態機制,方便和外部通信。修改 /etc/sysconfig/iptables 文件:
eden 藍色部份是在centos機器默認規則中添加的。
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*raw
-A PREROUTING -p tcp -m tcp --dport 8080 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 8080 -j NOTRACK
COMMIT
# filter表裏存在但在raw裏不存在的,默認會進行連接狀態跟蹤
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80:82 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
*raw
# 對TCP連接不啓用追蹤,解決ip_contrack滿導致無法連接的問題
-A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 22 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 21 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 11211 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 60000:60100 -j NOTRACK
-A PREROUTING -p tcp -s 192.168.10.1 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 22 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 21 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 11211 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 60000:60100 -j NOTRACK
-A OUTPUT -p tcp -s 192.168.10.1 -j NOTRACK
COMMIT
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT
# 對本地迴路、第5張網卡放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth4 -j ACCEPT
# 連接狀態跟蹤,已建立的連接允許傳輸數據
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT
# filter表裏存在但在raw裏不存在的,默認會進行連接狀態跟蹤
-A INPUT -s 192.168.10.31 -p tcp --dport 2669 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
或者乾脆對所有連接都關閉跟蹤,不跟蹤任何連接狀態。不過規則就限制比較嚴謹,進出都需要顯式申明。示例如下:
*raw
# 對TCP/UDP連接不啓用追蹤,解決nf_contrack滿導致無法連接的問題
-A PREROUTING -p tcp -j NOTRACK
-A PREROUTING -p udp -j NOTRACK
-A OUTPUT -p tcp -j NOTRACK
-A OUTPUT -p udp -j NOTRACK
COMMIT
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT
# 對本地迴路和eth1放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
# 只允許符合條件的連接進行傳輸數據
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --sport 80 -j ACCEPT
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --sport 123 -j ACCEPT
# 出去的包都不限制
-A OUTPUT -p tcp -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
# 輸入和轉發的包不符合規則的全攔截
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
效果如下圖:
四、刪除連接跟蹤模塊`lsmod | grep nf_conntrack`,不使用連接狀態的跟蹤功能。
1、刪除nf_conntrack和相關的依賴模塊,示例:
rmmod nf_conntrack_ipv4
rmmod nf_conntrack_ipv6
rmmod xt_state
rmmod xt_CT
rmmod xt_conntrack
rmmod iptable_nat
rmmod ipt_REDIRECT
rmmod nf_nat
rmmod nf_conntrack
2、禁用跟蹤模塊,把它加到黑名單(/etc/modprobe.d/blacklist.conf ):
# 禁用 nf_conntrack 模塊
blacklist nf_conntrack
blacklist nf_conntrack_ipv6
blacklist xt_conntrack
blacklist nf_conntrack_ftp
blacklist xt_state
blacklist iptable_nat
blacklist ipt_REDIRECT
blacklist nf_nat
blacklist nf_conntrack_ipv4
3、去掉防火牆裏所有和狀態相關的配置(比如state狀態,NAT功能),示例:
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT
# 對本地迴路和第2張網卡放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
# 對端口放行
-A INPUT -p tcp --dport 1331 -j ACCEPT
# 對IP放行
-A INPUT -s 192.168.10.31 -j ACCEPT
#允許本機進行DNS查詢
-A INPUT -p udp --sport 53 -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
另外,防火牆的配置文件最好也改下,不要加載任何額外模塊(/etc/sysconfig/iptables-config):
IPTABLES_MODULES="" # 不需要任何附加模塊
IPTABLES_MODULES_UNLOAD="no" # 避免iptables重啓後sysctl中對應的參數被重置爲系統默認值
IPTABLES_SAVE_ON_STOP="no"
IPTABLES_SAVE_ON_RESTART="no"
IPTABLES_SAVE_COUNTER="no"
IPTABLES_STATUS_NUMERIC="yes"
IPTABLES_STATUS_VERBOSE="no"
IPTABLES_STATUS_LINENUMBERS="no"
往往我們對連接的跟蹤都是基於操作系統的(netstat / ss ),防火牆的連接狀態完全是它自身實現產生的。
通過網上的一些解決方案和自己實踐整理。原筆記地址
https://app.yinxiang.com/shard/s20/nl/2313278/34844067-6ff4-4091-adb0-36bc25fbfad8?title=nf_conntrack%3A%20table%20full%2C%20dropping%20packet
一、關閉防火牆。 簡單粗暴,直接有效
#/etc/init.d/iptables stop centos
#/etc/init.d/SuSEfirewall2_setup stop suse
切記:在防火牆關閉狀態下,不要通過iptables指令(比如 iptables -nL)來查看當前狀態!因爲這樣會導致防火牆被啓動,而且規則爲空。雖然不會有任何攔截效果,但所有連接狀態都會被記錄,浪費資源且影響性能並可能導致防火牆主動丟包!
二、加大防火牆跟蹤表的大小,優化對應的系統參數
1、狀態跟蹤表的最大行數的設定,理論最大值
CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32)
以64G的64位操作系統爲例
CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152
即時生效請執行:
sysctl -w net.netfilter.nf_conntrack_max = 2100000
或者
vi /etc/sysctl.conf
net.netfilter.nf_conntrack_max = 2100000
sysctl -p
2、其哈希表大小通常爲總表的1/8,最大爲1/2。
CONNTRACK_BUCKETS = CONNTRACK_MAX / 8
同樣64G的64位操作系統,哈希最佳範圍是 262144 ~ 1048576 。
運行狀態中查看
sysctl net.netfilter.nf_conntrack_buckets
通過文件 /sys/module/nf_conntrack/parameters/hashsize 進行設置。
或者新建 /etc/modprobe.d/iptables.conf,重新加載模塊才生效:
options nf_conntrack hashsize=262144
3、還有些相關的系統參數`sysctl -a | grep nf_conntrack`可以調優(/etc/sysctl.conf ):
net.netfilter.nf_conntrack_max = 1048576
net.netfilter.ip_conntrack_tcp_timeout_established = 3600
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
三、使用raw表,添加“不跟蹤”標識。如下示例更適合桌面系統或隨意性強的服務器。因爲它開啓了連接的狀態機制,方便和外部通信。修改 /etc/sysconfig/iptables 文件:
eden 藍色部份是在centos機器默認規則中添加的。
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*raw
-A PREROUTING -p tcp -m tcp --dport 8080 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 8080 -j NOTRACK
COMMIT
# filter表裏存在但在raw裏不存在的,默認會進行連接狀態跟蹤
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80:82 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
*raw
# 對TCP連接不啓用追蹤,解決ip_contrack滿導致無法連接的問題
-A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 22 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 21 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 11211 -j NOTRACK
-A PREROUTING -p tcp -m tcp --dport 60000:60100 -j NOTRACK
-A PREROUTING -p tcp -s 192.168.10.1 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 22 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 21 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 11211 -j NOTRACK
-A OUTPUT -p tcp -m tcp --sport 60000:60100 -j NOTRACK
-A OUTPUT -p tcp -s 192.168.10.1 -j NOTRACK
COMMIT
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT
# 對本地迴路、第5張網卡放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth4 -j ACCEPT
# 連接狀態跟蹤,已建立的連接允許傳輸數據
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT
# filter表裏存在但在raw裏不存在的,默認會進行連接狀態跟蹤
-A INPUT -s 192.168.10.31 -p tcp --dport 2669 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
或者乾脆對所有連接都關閉跟蹤,不跟蹤任何連接狀態。不過規則就限制比較嚴謹,進出都需要顯式申明。示例如下:
*raw
# 對TCP/UDP連接不啓用追蹤,解決nf_contrack滿導致無法連接的問題
-A PREROUTING -p tcp -j NOTRACK
-A PREROUTING -p udp -j NOTRACK
-A OUTPUT -p tcp -j NOTRACK
-A OUTPUT -p udp -j NOTRACK
COMMIT
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT
# 對本地迴路和eth1放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
# 只允許符合條件的連接進行傳輸數據
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --sport 80 -j ACCEPT
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --sport 123 -j ACCEPT
# 出去的包都不限制
-A OUTPUT -p tcp -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
# 輸入和轉發的包不符合規則的全攔截
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
效果如下圖:
四、刪除連接跟蹤模塊`lsmod | grep nf_conntrack`,不使用連接狀態的跟蹤功能。
1、刪除nf_conntrack和相關的依賴模塊,示例:
rmmod nf_conntrack_ipv4
rmmod nf_conntrack_ipv6
rmmod xt_state
rmmod xt_CT
rmmod xt_conntrack
rmmod iptable_nat
rmmod ipt_REDIRECT
rmmod nf_nat
rmmod nf_conntrack
2、禁用跟蹤模塊,把它加到黑名單(/etc/modprobe.d/blacklist.conf ):
# 禁用 nf_conntrack 模塊
blacklist nf_conntrack
blacklist nf_conntrack_ipv6
blacklist xt_conntrack
blacklist nf_conntrack_ftp
blacklist xt_state
blacklist iptable_nat
blacklist ipt_REDIRECT
blacklist nf_nat
blacklist nf_conntrack_ipv4
3、去掉防火牆裏所有和狀態相關的配置(比如state狀態,NAT功能),示例:
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT
# 對本地迴路和第2張網卡放行
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
# 對端口放行
-A INPUT -p tcp --dport 1331 -j ACCEPT
# 對IP放行
-A INPUT -s 192.168.10.31 -j ACCEPT
#允許本機進行DNS查詢
-A INPUT -p udp --sport 53 -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
另外,防火牆的配置文件最好也改下,不要加載任何額外模塊(/etc/sysconfig/iptables-config):
IPTABLES_MODULES="" # 不需要任何附加模塊
IPTABLES_MODULES_UNLOAD="no" # 避免iptables重啓後sysctl中對應的參數被重置爲系統默認值
IPTABLES_SAVE_ON_STOP="no"
IPTABLES_SAVE_ON_RESTART="no"
IPTABLES_SAVE_COUNTER="no"
IPTABLES_STATUS_NUMERIC="yes"
IPTABLES_STATUS_VERBOSE="no"
IPTABLES_STATUS_LINENUMBERS="no"
往往我們對連接的跟蹤都是基於操作系統的(netstat / ss ),防火牆的連接狀態完全是它自身實現產生的。
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.