☰

解决方案：

tag-icon • tag-icon linux iptables firewall packet
解决方案：

我正在尝试进行一些ip_conntrack_max内核参数测试，但不知何故它不起作用。

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

我设置了以下值来查看其是否填充连接。

echo "10" > /proc/sys/net/netfilter/nf_conntrack_max

nc现在我正在使用命令创建许多连接

# nc -z -n -u -v 192.168.1.100 12000-32000

我可以看到它正在填充ip_conntrack表格，但没有删除任何连接。即使连接已满，我也可以在那台机器上进行 ssh。难道我做错了什么？或者它必须来自不同的src IP地址？

一般来说，我应该在 /var/log/messages 中收到以下消息，但我没有看到类似以下内容的内容。简而言之，我正在尝试重现以下错误。

ip_conntrack: table full, dropping packet

答案1

解决方案：

ip_conntrack_max 仅观察者ESTABLISHED连接，我正在运行没有状态的 UDP 扫描仪。

相关内容