nat-port-exhausted

NAT 端口耗尽

现象

内网访问外网时随机超时或连接失败，dmesg 出现 nf_conntrack: table full, dropping packet 或 TCP: time wait bucket table overflow；高峰期更明显。

快速定位

conntrack -S
conntrack -C
sysctl net.netfilter.nf_conntrack_max
sysctl net.ipv4.ip_local_port_range
ss -s

查看 NAT 连接：

conntrack -L -p tcp | wc -l
ss -tan state time-wait | wc -l

常见根因

• conntrack 表满，新连接被丢弃。
• 本地端口范围太小，TIME_WAIT 堆积。
• 大量短连接，未使用连接池。
• NAT 网关端口耗尽。
• 连接跟踪超时设置不合理。

修复

• 增大 nf_conntrack_max 和 hashsize。
• 扩大 ip_local_port_range。
• 使用长连接/连接池，减少短连接。
• 调整 tcp_fin_timeout 和 TIME_WAIT 复用。
• 扩容 NAT 网关或增加出口 IP。
• 监控 conntrack 使用率并设置告警。

相关命令

• conntrack — 连接跟踪表
• ss — socket 状态
• sysctl — 内核参数
• nft / iptables — NAT 规则