Chinaunix首页 | 论坛 | 博客
  • 博客访问: 192991
  • 博文数量: 34
  • 博客积分: 25
  • 博客等级: 民兵
  • 技术积分: 387
  • 用 户 组: 普通用户
  • 注册时间: 2012-04-10 21:00
个人简介

http://blog.chinaunix.net/uid/26870656.html 我是一个很懒的人

文章分类

全部博文(34)

文章存档

2014年(18)

2013年(9)

2012年(7)

分类: 系统运维

2014-09-03 13:51:36

   大家都知道linuxiptables防火墙使用了ip_conntrack 内核模块实现连接跟踪功能,所有的进出数据包都会记录在连接跟踪表中,包括tcpudpicmp等,一旦连接跟踪表被填满以后,就会发生丢包,导致网络不稳定。

 

在大多数系统中,缺省的连接跟踪表大小是65536,可以通过下面2条命令查看缺省大小,

sysctl  net.ipv4.netfilter.ip_conntrack_max

cat  /proc/sys/net/ipv4/netfilter/ip_conntrack_max

 

当需要扩大连接跟踪表时,首先需要先加载ip_conntrack 模块,再通过以下接口进行调整,例如:

modprobe  ip_conntrack

sysctl  -w net.ipv4.netfilter.ip_conntrack_max = 655360(放大10倍)。

 

其实,ip_conntrack 模块支持一个隐含的模块参数hashsize(隐含参数意味着通过modinfo ip_conntrack查看时没有给出的模块参数),

连接跟踪表其实是一张hash表,每个hash bucket(桶)有8条记录,因此65536条记录对应8192hash bucket

 

比如缺省配置下加载 ip_conntrack模块时,内核给出的提示信息如下:

ip_conntrack version 2.4 (8192 buckets, 65536 max) - 304 bytes per conntrack

 

如果需要支持655360条跟踪记录的话,只需要将hash bucket设置为81920即可:

 

modprobe  ip_conntrack  hashsize=81920

 

或者添加到 /etc/modprobe.conf 配置文件中:

 

options ip_conntrack  hashsize=81920

 

通过这种方式就可以做到在ip_conntrack模块被加载时就设置好连接跟踪表的大小。

阅读(4677) | 评论(0) | 转发(0) |
0

上一篇:shell 数组

下一篇:一些有用的iptables规则

给主人留下些什么吧!~~