Linux 出现大量 “nf_conntrack: table full, dropping packet” 如何快速缓解和永久调优

conntrack表满导致丢包需分步解决：先临时扩容（如sysctl -w.net.netfilter.nf_conntrack_max=131072）并调短超时，再持久化配置；再精准分析连接状态、限制异常连接或禁用非必要conntrack；最后通过Keep-Alive、硬件卸载、优化NAT等架构手段根治。

爬虫入口、NAT 网关等）。缓解需分两步：**快速止血**（临时扩容）和**长期调优**（合理配置+架构优化）。

快速缓解：临时扩大 conntrack 表容量

立即生效，不需重启，适用于流量突发或紧急排障：

• 查看当前设置：
  sysctl net.netfilter.nf_conntrack_max
• 查看当前使用量：
  cat /proc/sys/net/netfilter/nf_conntrack_count 或 conntrack -C
• 临时扩容（例如设为 131072）：
  sysctl -w net.netfilter.nf_conntrack_max=131072
• 同时可适当放宽超时时间，减少条目堆积（如 TCP ESTABLISHED 从默认 432000 秒缩短为 300 秒）：
  sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=300

永久生效：写入 sysctl 配置文件

避免重启后恢复默认值，需持久化设置：

• 编辑 /etc/sysctl.conf 或新建 /etc/sysctl.d/99-conntrack.conf：
• 添加以下内容（数值按实际负载调整，非越大越好）：
  .net.netfilter.nf_conntrack_max = 131072
  net.netfilter.nf_conntrack_tcp_timeout_established = 300
  net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
  net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
• 加载配置：
  sysctl --system（推荐）或 sysctl -p

精准调优：避免盲目增大，关注真实瓶颈

单纯调大 nf_conntrack_max 可能掩盖问题，甚至引发 OOM。应结合连接特征分析：

• 用 conntrack -L | head -20 查看典型连接状态分布，重点关注大量 TIME_WAIT 或 UNREPLIED 条目
• 若短连接多（如 http），降低 nf_conntrack_tcp_timeout_time_wait（默认 120s，可设为 30–60s）更有效
• 若存在大量扫描/异常连接，启用连接限制（如 iptables -A input -p tcp -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP）比扩容更治本
• 确认是否真需 conntrack：纯转发且无 NAT 的场景，可考虑禁用（sysctl -w net.netfilter.nf_conntrack_enable=0），但需确保不依赖 connection tracking 功能（如 stateful firewall 规则）

架构级优化：减少 conntrack 压力源

从源头降低跟踪负担，比内核参数调优更可持续：

• Web 层启用 HTTP Keep-Alive，减少 TCP 连接频次
• NAT 网关类设备升级到支持硬件 offload 或 conntrack bypass 的型号（如某些 DPU 或智能网卡）
• 在负载均衡器（如 nginx、HAproxy）开启 proxy_protocol 并透传客户端 IP，避免在后端节点重复做 SNAT/DNAT
• 容器环境慎用 hostNetwork: true + iptables DNAT 组合，易导致 conntrack 表爆炸；优先用 CNI 插件原生路由模式