☰

为什么nf_conntrack_count不断增加？

tag-icon • tag-icon linux ubuntu iptables conntrack
为什么nf_conntrack_count不断增加？

我使用的是 Ubuntu 11.10 和 nginx。我的服务器目前每秒处理大约 350 rps（这是传入的负载）。我使用 iptables 来确保某些端口上的连接仅限于我拥有的盒子。

我注意到它nf_conntrack_count一直在增加。无论我推送什么nf_conntrack_max，nf_conntrack_count它都会在一天之内匹配。此外，它netstat -tn与我所说的不匹配。以下是数字：

$ sudo sysctl net.netfilter.nf_conntrack_count net.netfilter.nf_conntrack_max
net.netfilter.nf_conntrack_count = 649715
net.netfilter.nf_conntrack_max = 650000


$ netstat -tn | awk '{n[$6]++} END { for(k in n) { print k, n[k]; }}'
CLOSING 6
ESTABLISHED 2933
FIN_WAIT1 116
FIN_WAIT2 3447
LAST_ACK 35
SYN_RECV 79
TIME_WAIT 27141


$ sudo conntrack -L | awk '{n[$4]++}; END {for(k in n) { print k, n[k]; }}'
conntrack v1.0.0 (conntrack-tools): 648611 flow entries have been shown.
CLOSE 443
CLOSE_WAIT 2210
ESTABLISHED 645529
FIN_WAIT 45
LAST_ACK 50
SYN_RECV 74
TIME_WAIT 259

我不想继续增加，nf_conntrack_max直到我确切知道发生了什么。我的机器上肯定没有 650,000 个连接（单个 IP，所以我没有那么多端口）。

你知道发生了什么事吗？或者我可以做些什么来解释？如果你需要更多数字，我可能可以得到。

请注意，我的大部分连接都是 HTTP（唯一的例外是我的 ssh 会话），并且 nginx 中的 keepalive 超时设置为 15 秒。另外net.netfilter.nf_conntrack_tcp_timeout_time_wait = 1

任何帮助均感激不尽。

答案1

我可能知道一些线索。超时字段conntrack -L有几个值都在 430,000 秒范围内。这看起来可疑地接近默认值nf_conntrack_tcp_timeout_established。我已将其调低nf_conntrack_tcp_timeout_established至 300，并且表中的所有新条目的超时值都小于 300。这似乎表明只要 tcp_timeout_established 有效，条目就会一直保留在连接跟踪表中。

当我获得更多信息时，我会添加这个答案。

相关内容