Article / 文章中心

Linux实例NAT哈希表满导致ECS实例丢包

发布时间:2021-04-08 点击数:574
问题现象

Linux实例出现间歇性丢包,无法连接实例。通过tracert、mtr等工具排查,外部网络未见异常。同时,在系统日志中重复出现大量类似以下错误信息。

Feb  6 16:05:07 i-*** kernel: nf_conntrack: table full, dropping packet.
Feb  6 16:05:07 i-*** kernel: nf_conntrack: table full, dropping packet.
Feb  6 16:05:07 i-*** kernel: nf_conntrack: table full, dropping packet.
Feb  6 16:05:07 i-*** kernel: nf_conntrack: table full, dropping packet.
原因分析

ip_conntrack是Linux系统内NAT的一个跟踪连接条目的模块。ip_conntrack模块会使用一个哈希表记录TCP协议“established connection”记录,当这个哈希表满之后,便会导致“nf_conntrack: table full, dropping packet”错误。Linux系统会开辟一个空间,用于维护每一个TCP链接,这个空间的大小与nf_conntrack_buckets、nf_conntrack_max参数相关,后者的默认值是前者的4倍,所以一般建议调大nf_conntrack_max参数值。

说明:系统维护连接比较消耗内存,请在系统空闲和内存充足的情况下调大nf_conntrack_max参数,且根据系统的情况而定。

解决方法
  1. 登录Linux实例。
  2. 执行以下命令,编辑系统内核配置。
    vi /etc/sysctl.conf
  3. 修改哈希表项最大值参数net.netfilter.nf_conntrack_max为655350。
  4. 修改超时参数net.netfilter.nf_conntrack_tcp_timeout_established为1200,默认情况下超时时间是432000秒。
  5. 执行sysctl -p命令,使配置生效。
    如果您有其他问题,可以联系北京志远天成阿里云代理商,为您提供一对一专业全面的技术服务,同时新老阿里云会员,均可享受我公司代理商价格,欢迎咨询欢迎咨询.gif