ip_conntrack: table full问题

发表于

问题描述

线上wenb机访问量很大时发现网络丢包的情况，通过dmesg查看日志，发现如下信息

1
2
kernel: ip_conntrack: table full, dropping packet.
kernel: printk: 1 messages suppressed.

解决

IP_conntrack表示连接跟踪数据库(conntract database)，代表NAT机器跟踪连接的数目，连接跟踪表能容纳多少记录受一个变量控制。每个跟踪连接表会占用350字节的内核存储空间，时间一长就会把默认空间填满。
kernel用ip_conntract模块来记录iptables网络包的状态，并保存到table中(table在内存中)，如果网络繁忙，比如高连接、高并发等会导致占满，满了以后iptables就会丢包，出现外部无法连接服务器的情况。

手动调整最大值

1
sysctl -w net.nf_conntrack_max=100000