La tabla de conexiones de iptables está llena y el acceso al sitio web es muy lento.

Fenómeno: De repente, el sitio web tarda en visitarse, la CPU, la memoria y el uso del disco del servidor son normales.

Proceso y solución de análisis: consulta /var El registro de /log /message encontró que hay un registro de ese tipo que cae <; ip_conntrack table full dropting packet ". El kernel usa el módulo ip_conntrack para registrar el estado del paquete de red iptables y guardarlo en la tabla (esta tabla está en la memoria). Si la red está ocupada, como alta conexión, alta conexión concurrente, etc., ocupará gradualmente el espacio disponible de la tabla. Generalmente, esta tabla No es fácil de rellenar y puede limpiarlo. El registro de la tabla permanecerá en la tabla hasta que la IP de origen envíe un paquete RST, pero si hay un ataque, configuración de red incorrecta, enrutamiento /enrutador problemático, problemático Cuando la tarjeta de red se encuentra en la misma situación, el paquete RST enviado por la IP de origen no se recibirá, por lo que se acumulará en la tabla, y cuanto más se acumule hasta que se llene. Después de que se pierdan las iptables completas, el servidor externo no podrá conectarse. La situacion

Solución: Iptables comienza a solicitar los valores actuales de depósitos y conntrack_max en el registro y la cantidad de memoria que consume cada conexión de rastreo:

En otras palabras, la memoria de 304 MB admitirá 1048576 registros de conexión de rastreo, por lo que debe configurar el valor apropiado de acuerdo con el tamaño de la memoria del servidor.

Modifique permanentemente ip_conntrack_max y hashsize

Aumente ip_conntrack_max (configurado en 2 ^ 20, el valor predeterminado es 2 ^ 16 = 65536)

vi /etc/sysctl.conf < Br>

net.ipv4.ip_conntrack_max = 1048576

2) Aumentar hashsize (HASHSIZE = CONNTRACK_MAX /8 en la arquitectura i386)

vi /etc/modprobe.conf

opciones ip_conntrack hashsize = 131072

Luego reinicie el servicio de iptables. Puede ver que los parámetros han sido válidos en los mensajes:

service iptables restart