高并发下iptables丢包导致网络变慢解决方法

很多人估计遇到这个问题，开启iptables时，一旦网络连接并发较多，比如5000个以上，就发现网络响应变得很慢, 这时syslog中出现大量以下日志：

 

ip_conntrack: table full, dropping packet.

 

这是因为分配给ip_conntrack的默认的内存空间过小造成，　需要加大此值，并且这个值是无法通过/etc/sysctl.conf修改的．我被这个问题困扰了很久，按网上的方法修改/etc/sysctl.conf，根本无效的．

 

后台阅读国外的一篇文章，终于找到了这个问题的解决方法：

 

向/etc/modprobe.conf中增加
options ip_conntrack hashsize=262144

再执行service iptables restart即可生效，可使用sysctl -a|grep ip_conntrack_buckets即可检查是否确实修改成功

 

如果这时在系统日志中出现

ip_conntrack: falling back to vmalloc

 

说明分配的内存空间过大，需要调节小一些，你可以将上述的参考值不断减半(必须是2的乘幂)，直到不出现上述错误．

 

iptables有100多条规则，　峰值tcp并发大约7000多，再也没有出现过丢包的问题．