conntrack-full

nf_conntrack 表满导致丢包的定位

现象

dmesg 出现 nf_conntrack: table full, dropping packet，新建连接失败、NAT 异常、部分请求超时。高并发/短连接服务常见。

快速定位

cat /proc/sys/net/netfilter/nf_conntrack_count
cat /proc/sys/net/netfilter/nf_conntrack_max
conntrack -C
conntrack -S
dmesg -T | grep -i conntrack
ss -s

常见根因

1. 并发连接数超过 nf_conntrack_max。
2. 大量短连接/TIME_WAIT，连接回收慢。
3. NAT、负载均衡或容器网络放大连接跟踪条目。
4. 连接泄漏或客户端重试风暴。
5. 默认超时时间过长，空闲条目占用表。

修复

• 提升 nf_conntrack_max，并同步调整 hashsize。
• 缩短 nf_conntrack_tcp_timeout_established 等超时。
• 修连接泄漏，使用连接池和长连接。
• 对确定不需要跟踪的流量配置 NOTRACK。
• 容器/云环境检查 NAT 和 Service 连接放大。
• 监控 count 与 max 的比例，提前告警。

相关命令

• conntrack — 连接跟踪表
• sysctl — 内核参数
• ss — 套接字统计
• dmesg — 内核日志