“連接跟蹤表已滿，開始丟包”！相信不少用iptables的同學都會見過這個錯誤信息吧，這個問題曾經也困擾過我好長一段時間。此問題的解決辦法有四種（nf_conntrack 在CentOS 5 / kernel <= 2.6.19中名為 ip_conntrack ）：

一、關閉防火墻。 簡單粗暴，直接有效

chkconfig iptables off 
chkconfig ip6tables off 
service iptables stop 
service ip6tables stop

  切記：在防火墻關閉狀態下，不要通過iptables指令（比如 iptables -nL）來查看當前狀態！因為這樣會導致防火墻被
  啟動，而且規則為空。雖然不會有任何攔截效果，但所有連接狀態都會被記錄，浪費資源且影響性能並可能導致防火墻主動丟包！

二、加大防火墻跟蹤表的大小，優化對應的系統參數

1、狀態跟蹤表的最大行數的設定，理論最大值 CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32)

以64G的64位操作系統為例，CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152

即時生效請執行：

sysctl –w net.netfilter.nf_conntrack_max = 2097152

2、其哈希表大小通常為總表的1/8，最大為1/2。CONNTRACK_BUCKETS = CONNTRACK_MAX / 8

同樣64G的64位操作系統，哈希最佳範圍是 262144 ~ 1048576 。

運行狀態中通過 sysctl net.netfilter.nf_conntrack_buckets 進行查看，通過文件 /sys/module/nf_conntrack/parameters/hashsize 進行設置

或者新建 /etc/modprobe.d/iptables.conf ，重新加載模塊才生效：

options nf_conntrack hashsize = 262144

3、還有些相關的系統參數`sysctl -a | grep nf_conntrack`可以調優（/etc/sysctl.conf ）：

net.netfilter.nf_conntrack_max  =   1048576  
net.netfilter.ip_conntrack_tcp_timeout_established  =   3600  
net.netfilter.nf_conntrack_tcp_timeout_close_wait  =   60  
net.netfilter.nf_conntrack_tcp_timeout_fin_wait  =   120  
net.netfilter.nf_conntrack_tcp_timeout_time_wait  =   120

三、使用祼表，添加“不跟蹤”標識。如下示例更適合桌面系統或隨意性強的服務器。因為它開啟了連接的狀態機制，方便和外部通信。修改 /etc/sysconfig/iptables 文件：

*raw 
# 對TCP連接不啟用追蹤，解決ip_contrack滿導致無法連接的問題 
-A PREROUTING -p tcp -m tcp --dport 80 -j NOTRACK -A PREROUTING -p tcp -m tcp --dport 22 -j NOTRACK 
-A PREROUTING -p tcp -m tcp --dport 21 -j NOTRACK -A PREROUTING -p tcp -m tcp --dport 11211 -j NOTRACK
 -A PREROUTING -p tcp -m tcp --dport 60000:60100 -j NOTRACK -A PREROUTING -p tcp -s 192.168.10.1 -j 
 NOTRACK -A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK -A OUTPUT -p tcp -m tcp --sport 22 -j NOTRACK
  -A OUTPUT -p tcp -m tcp --sport 21 -j NOTRACK -A OUTPUT -p tcp -m tcp --sport 11211 -j NOTRACK -A
   OUTPUT -p tcp -m tcp --sport 60000:60100 -j NOTRACK -A OUTPUT -p tcp -s 192.168.10.1 -j NOTRACK
    COMMIT 
*filter 
# 允許ping 
-A INPUT -p icmp -j ACCEPT # 對本地回路、第5張網卡放行 
-A INPUT -i lo -j ACCEPT -A INPUT -i eth4 -j ACCEPT # 連接狀態跟蹤，已建立的連接允許傳輸數據 
-A INPUT -m state --state ESTABLISHED,RELATED,INVALID,UNTRACKED -j ACCEPT # filter表裏存在但在raw裏不
存在的，默認會進行連接狀態跟蹤 
-A INPUT -s 192.168.10.31 -p tcp --dport 2669 -j ACCEPT -A INPUT -j REJECT --reject-with 
icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT

或者幹脆對所有連接都關閉跟蹤，不跟蹤任何連接狀態。不過規則就限制比較嚴謹，進出都需要顯式申明。示例 /etc/sysconfig/iptables ：

*raw
# 對TCP/UDP連接不啟用追蹤，解決nf_contrack滿導致無法連接的問題
-A PREROUTING -p tcp -j NOTRACK-A PREROUTING -p udp -j NOTRACK-A OUTPUT -p tcp -j NOTRACK-A OUTPUT 
-p udp -j NOTRACKCOMMIT
*filter
# 允許ping
-A INPUT -p icmp -j ACCEPT# 對本地回路和eth1放行
-A INPUT -i lo -j ACCEPT-A INPUT -i eth1 -j ACCEPT# 只允許符合條件的連接進行傳輸數據
-A INPUT -p tcp --dport 22 -j ACCEPT-A INPUT -p tcp --sport 80 -j ACCEPT-A INPUT -p udp --sport 53 -j
 ACCEPT-A INPUT -p udp --sport 123 -j ACCEPT# 出去的包都不限制
-A OUTPUT -p tcp -j ACCEPT-A OUTPUT -p udp -j ACCEPT# 輸入和轉發的包不符合規則的全攔截
-A INPUT -j REJECT --reject-with icmp-host-prohibited-A FORWARD -j REJECT --reject-with 
icmp-host-prohibitedCOMMIT


四、刪除連接跟蹤模塊`lsmod | grep nf_conntrack`，不使用連接狀態的跟蹤功能。

  1、刪除nf_conntrack和相關的依賴模塊，示例：
rmmod nf_conntrack_ipv4 
rmmod nf_conntrack_ipv6 
rmmod xt_state 
rmmod xt_CT 
rmmod xt_conntrack 
rmmod iptable_nat 
rmmod ipt_REDIRECT 
rmmod nf_nat 
rmmod nf_conntrack
  2、禁用跟蹤模塊，把它加到黑名單（/etc/modprobe.d/blacklist.conf ）：
# 禁用 nf_conntrack 模塊 blacklist nf_conntrack 
blacklist nf_conntrack_ipv6 
blacklist xt_conntrack 
blacklist nf_conntrack_ftp 
blacklist xt_state 
blacklist iptable_nat 
blacklist ipt_REDIRECT 
blacklist nf_nat 
blacklist nf_conntrack_ipv4
  3、去掉防火墻裏所有和狀態相關的配置（比如state狀態，NAT功能），示例：
*filter 
# 允許ping 
-A INPUT -p icmp -j ACCEPT # 對本地回路和第2張網卡放行 
-A INPUT -i lo -j ACCEPT -A INPUT -i eth1 -j ACCEPT # 對端口放行 
-A INPUT -p tcp --dport 1331 -j ACCEPT # 對IP放行 
-A INPUT -s 192.168.10.31 -j ACCEPT 
#允許本機進行DNS查詢
 
-A INPUT -p udp --sport 53 -j ACCEPT-A OUTPUT -p udp -j ACCEPT-A INPUT -j REJECT --reject-with 
icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT
    另外，防火墻的配置文件最好也改下，不要加載任何額外模塊（/etc/sysconfig/iptables-config）：
IPTABLES_MODULES="" 
# 不需要任何附加模塊IPTABLES_MODULES_UNLOAD="no" # 避免iptables重啟後sysctl中對應的參數被重置為系統
默認值IPTABLES_SAVE_ON_STOP="no"IPTABLES_SAVE_ON_RESTART="no"IPTABLES_SAVE_COUNTER=
"no"IPTABLES_STATUS_NUMERIC="yes"IPTABLES_STATUS_VERBOSE="no"IPTABLES_STATUS_LINENUMBERS="no"
    往往我們對連接的跟蹤都是基於操作系統的（netstat / ss ），防火墻的連接狀態完全是它自身實現產生的。
    總結：防火墻有條件還是交給上層設備完成會更好，使用防火墻一定要做調優；如果不需要防火墻的跟蹤功能，規則簡單
    的可以開啟NOTRACK選項，條件允許的情況下就刪除它吧！

效果如下圖：

本文出自 “大東” 博客，轉載請與作者聯系！

nf_conntrack: table full, dropping packet 解決方案