«
»

ip_conntrackのメモ

日本F-Secure株式会社 - 製品サポート情報

通信が多く、Linuxのiptablesのセッション管理テーブル(ip_conntrack)
を使い果たした場合、NATが働かず、通信できなくなったり検査できなく
なることがあります。
これは、問題発生後のdmesgコマンドで以下のエラーのメッセージが
出力されかで確認できます。(診断情報ではsystem/dmesg.txt)
ip_conntrack: table full, dropping packet.

なぜかこの状態になった。一部のIPアドレスから頻度の高いアクセスがあるなぁとは思っていたけれど、そんなにあるとは想定外。

/proc/net/ip_conntrack を調べてみると、以下のような ESTABLISHEDがある特定のIPアドレス群から大量に記録されていて、テーブルがいっぱいになってしまったらしい。困ったものだ。

PLAIN TEXT
CODE:
  1. tcp      6 431295 ESTABLISHED src=221.170.xxx.xxx dst=xxx.xxx.xxx.xxx (略)

上記、F-secureの情報を参考に /etc/sysctl.conf に 以下の行を加えた。327520は元々の10倍だが、メモリもあるのでたぶん大丈夫。

PLAIN TEXT
CODE:
  1. net.ipv4.ip_conntrack_max = 327520

確認する。

PLAIN TEXT
CODE:
  1. # cat /proc/sys/net/ipv4/ip_conntrack_max
  2. 327520

ESTABLISHED が保持されるのは 432000秒=(5日間)だそうなので、これを短くするという方法もあるらしい。場所は、/proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established。

5日間というのは長すぎる気もするけど、何か意味はあるのだろう。D-Link DSL-G604T Wireless ADSL Router - サポートフォーラム - eXpansys Japan を見ると書き換えちゃったりしてますが、大丈夫なのかどうかは不明。

関連すると思われる記事:

タグ: , , ,

この投稿は 2008年7月18日 金曜日 5:52:01 に Linux カテゴリーに公開されました。 この投稿へのコメントは RSS 2.0 フィードで購読することができます。 コメントを残すか、ご自分のサイトからトラックバックすることができます。

コメントをどうぞ