Reach Silu: 2009

關於ip_conntrack: table full, dropping packet的問題
統報：
Apr 17 16:37:26 www kernel: printk: 135 messages suppressed.
Apr 17 16:37:26 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:26 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:33 www kernel: printk: 139 messages suppressed.
Apr 17 16:37:33 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:37 www kernel: printk: 60 messages suppressed.
Apr 17 16:37:37 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:52 www kernel: printk: 19 messages suppressed.
Apr 17 16:37:52 www kernel: ip_conntrack: table full, dropping packet.

有丟包現象

[root@www ~]# wc -l /proc/net/ip_conntrack
68463 /proc/net/ip_conntrack

[root@www ~]# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_max
65536

可調整以下參數：

echo 180 >
/proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
echo 262144 > /proc/sys/net/ipv4/netfilter/ip_conntrack_max
echo 120 > /proc/sys/net/ipv4/neigh/default/gc_stale_time
echo 1024 > /proc/sys/net/ipv4/neigh/default/gc_thresh1
echo 4096 > /proc/sys/net/ipv4/neigh/default/gc_thresh2
echo 8192 > /proc/sys/net/ipv4/neigh/default/gc_thresh3

或vi /etc/sysctl.conf

net.ipv4.ip_conntrack_max = 655360
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180

再sysctl -p

相關參數說明：

ARP支持一個sysctl接口，可以用以配置全局參數或逐個網絡接口地進行配製。該sysctl
可以通過/proc/sys/net/ipv4/neigh/*/*文件或者使用sysctl(2)接口來訪問。系統中
每個接口都在/proc/sys/net/ipv4/neigh/.中有自己的目錄。 `default’目錄中的設置用於
所有新建的設備。 sysctl相關的時間是以秒為單位，除非特別聲明過．
IXDBA.NET社區論壇
anycast_delay
對IPv6相鄰請求信息的回复的最大延遲時間；目前還不支持anycast。缺省值為1秒。
app_solicit
這是在使用多路廣播探測(multicast probe)前，經過網絡連接送到用戶間隙ARP端口監控程序
的探測（probe）最大數目(見mcast_solicit )。缺省值為0。
base_reachable_time
一旦發現相鄰記錄，至少在一段介於base_reachable_time/2和
3*base_reachable_time/2之間的隨機時間內，該記錄是有效的。如果收到上層協議的肯定反
饋，那麼記錄的有效期將延長。缺省值是30秒。
delay_first_probe_time
發現某個相鄰層記錄無效(stale)後，發出第一個探測要等待的時間。缺省值是5秒。
gc_interval
收集相鄰層記錄的無用記錄的垃圾收集程序的運行週期，缺省為30秒。
gc_stale_time
決定檢查一次相鄰層記錄的有效性的周期。當相鄰層記錄失效時，將在給它發送數據前，再解析一
次。缺省值是60秒。
gc_thresh1
存在於ARP高速緩存中的最少層數，如果少於這個數，垃圾收集器將不會運行。缺省值是128。
gc_thresh2
保存在ARP高速緩存中的最多的記錄軟限制。垃圾收集器在開始收集前，允許記錄數超過這個數
字5秒。缺省值是512。
gc_thresh3
保存在ARP高速緩存中的最多記錄的硬限制，一旦高速緩存中的數目高於此，垃圾收集器將馬上
運行。缺省值是1024。
locktime
ARP記錄保存在高速緩存內的最短時間（jiffy數），以防止存在多個可能的映射(potential
mapping)時， ARP高速緩存系統的顛簸(經常是由於網絡的錯誤配置而引起)。缺省值是1
秒。
mcast_solicit
在把記錄標記為不可抵達的之前，用多路廣播/廣播（multicast/broadcast）方式解析地址的
最大次數。

缺省值是3。
proxy_delay
當接收到有一個請求已知的代理ARP地址的ARP請求時，在回應前可以延遲的jiffy（時間單位，見BUG）數目。這樣，以防止網絡風暴。缺省值是0.8秒。
proxy_qlen
能放入代理ARP地址隊列(proxy-ARP addresses)的數據包最大數目。缺省值是64。
IXDBA.NET技術社區
retrans_time
重發一個請求前的等待jiffy（時間單位，見BUG）的數目。缺省值是1秒。
ucast_solicit
詢問ARP端口監控程序前，試圖發送單探測（unicast probe）的次數。 (見app_solicit).缺省值是3秒。
unres_qlen
每個沒有被其它網絡層解析的地址，在隊列中可存放包的最大數目。缺省值是3.

http://blog.24reader.com/ken666/2009/02/23/%e9%97%9c%e6%96%bcip_conntrack-table-full-dropping-packet%e7%9a%84%e5%95%8f%e9%a1%8c/

ip_conntrack_max 不夠多dd-wrt nvram set ip_conntrack_max=8192nvram commit reboot

http://www.right.com.cn/forum/viewthread.php?tid=11273

把 /proc/sys/net/ipv4/ip_conntrack_max 的值加大.如:echo "32767" > /proc/sys/net/ipv4/ip_conntrack_max不過... 通常這個值也有數千, 也就是允許同時有上千個連線存在...你的機器同時有那麼多人連線嗎 ?沒看過正常使用下會超過原本的設定值 (依照你的 RAM 決定), 好像有出現的機器都有問題, 可能被入侵當成跳板在攻擊別人吧... 最好檢查一下....

http://phorum.study-area.org/index.php?topic=11617.msg53210

错误：
Apr 8 16:15:42 GATEWAY kernel: ip_conntrack: table full, dropping

packet.
Apr 8 16:15:47 GATEWAY kernel: printk: 3 messages suppressed.
Apr 8 16:15:47 GATEWAY kernel: ip_conntrack: table full, dropping

packet.
Apr 8 16:15:54 GATEWAY kernel: printk: 3 messages suppressed.
Apr 8 16:15:54 GATEWAY kernel: ip_conntrack: table full, dropping

packet.

IP_conntrack表示连接跟踪数据库(conntrack database)，代表NAT机器跟踪连接

的数目，连接跟踪表能容纳多少记录是被一个变量控制的，它可由内核中的ip-

sysctl函数设置。每一个跟踪连接表会占用350字节的内核存储空间，时间一长就

会把默认的空间填满，那么默认空间是多少？在内存为64MB的机器上是4096,内存

为128MB是 8192,内存为256MB是16384，那末就能

==================================
现在通过/proc文档系统我们能够在运行时读取CONNTRACK_MAX的值。
在Linux kernel 2.4.23版本前，使用：
# cat /proc/sys/net/ipv4/ip_conntrack_max
在Linux kernel 2.4.23版本后，使用：
# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_max
(旧的 /proc/sys/net/ipv4/ip_conntrack_max是不建议使用的!)

在/proc/sys/net/ipv4/netfilter/ip_conntrack_max 里查看、设置。
例如：增加到81920，可以用以下命令:
echo "81920" > /proc/sys/net/ipv4/netfilter/ip_conntrack_max
那样设置是不会保存的，要重启后保存可以在/etc/sysctl.conf中加：
net.ipv4.netfilter.ip_conntrack_max = 81920
不过增大表可能造成性能下降。

echo 21600>

/proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
那样设置是不会保存的，要重启后保存可以在/etc/sysctl.conf中加：
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established =21600
这个参数是连接超时，默认超时时间是5天，也就是432000秒，现在把它改成

21600，就是6小时，在6小时后清除掉无效的连接
对已经建立的连接无效，已经建立的超时连接会在5天期满以后自动清除掉

查看ip_conntrack前几位IP

cat /proc/net/ip_conntrack cut -d ' ' -f 10 cut -d '=' -f 2 sort uniq -c sort -nr head -n 5
察看有多少个跟踪
cat /proc/net/ip_conntrack cut -d ' ' -f 10 cut -d '=' -f 2 sort uniq -c sort -nr awk '{x=x+$1}{print x}'

http://blog.chinaunix.net/u/32831/showart_525559.html

在网上找了以下解决方法

vi /etc/sysctl.conf

net.ipv4.ip_conntrack_max = 655360
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180

再sysctl -p

http://hi.baidu.com/%BF%B5%BD%A1/blog/item/001962d9bfdc8e2911df9bb9.html

系统报：
Apr 17 16:37:26 www kernel: printk: 135 messages suppressed.
Apr 17 16:37:26 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:26 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:33 www kernel: printk: 139 messages suppressed.
Apr 17 16:37:33 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:37 www kernel: printk: 60 messages suppressed.
Apr 17 16:37:37 www kernel: ip_conntrack: table full, dropping packet.
Apr 17 16:37:52 www kernel: printk: 19 messages suppressed.
Apr 17 16:37:52 www kernel: ip_conntrack: table full, dropping packet.

有丢包现象

[root@www ~]# wc -l /proc/net/ip_conntrack
68463 /proc/net/ip_conntrack

[root@www ~]# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_max
65536

可调整以下参数：

echo 180 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
echo 262144 > /proc/sys/net/ipv4/netfilter/ip_conntrack_max
echo 120 > /proc/sys/net/ipv4/neigh/default/gc_stale_time
echo 1024 > /proc/sys/net/ipv4/neigh/default/gc_thresh1
echo 4096 > /proc/sys/net/ipv4/neigh/default/gc_thresh2
echo 8192 > /proc/sys/net/ipv4/neigh/default/gc_thresh3

或vi /etc/sysctl.conf

net.ipv4.ip_conntrack_max = 655360
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180

再sysctl -p

相关参数说明：

ARP 支持一个 sysctl 接口，可以用以配置全局参数或逐个网络接口地进行配制。该 sysctl 可以通过 /proc/sys/net/ipv4/neigh/*/* 文件或者使用 sysctl(2) 接口来访问。系统中每个接口都在 /proc/sys/net/ipv4/neigh/. 中有自己的目录。`default'目录中的设置用于所有新建的设备。 sysctl 相关的时间是以秒为单位，除非特别声明过．
anycast_delay
对 IPv6 相邻请求信息的回复的最大延迟时间；目前还不支持 anycast。缺省值为1秒。
app_solicit
这是在使用多路广播探测(multicast probe)前，经过网络连接送到用户间隙ARP端口监控程序的探测（probe）最大数目(见 mcast_solicit )。缺省值为0。
base_reachable_time
一旦发现相邻记录，至少在一段介于 base_reachable_time/2和3*base_reachable_time/2 之间的随机时间内，该记录是有效的。如果收到上层协议的肯定反馈，那么记录的有效期将延长。缺省值是30秒。
delay_first_probe_time
发现某个相邻层记录无效(stale)后，发出第一个探测要等待的时间。缺省值是5秒。
gc_interval
收集相邻层记录的无用记录的垃圾收集程序的运行周期，缺省为30秒。
gc_stale_time
决定检查一次相邻层记录的有效性的周期。当相邻层记录失效时，将在给它发送数据前，再解析一次。缺省值是60秒。
gc_thresh1
存在于ARP高速缓存中的最少层数，如果少于这个数，垃圾收集器将不会运行。缺省值是128。
gc_thresh2
保存在 ARP 高速缓存中的最多的记录软限制。垃圾收集器在开始收集前，允许记录数超过这个数字 5 秒。缺省值是 512。
gc_thresh3
保存在 ARP 高速缓存中的最多记录的硬限制，一旦高速缓存中的数目高于此，垃圾收集器将马上运行。缺省值是1024。
locktime
ARP 记录保存在高速缓存内的最短时间（jiffy数），以防止存在多个可能的映射(potential mapping)时， ARP 高速缓存系统的颠簸 (经常是由于网络的错误配置而引起)。缺省值是 1 秒。
mcast_solicit
在把记录标记为不可抵达的之前，用多路广播/广播（multicast/broadcast）方式解析地址的最大次数。缺省值是3。
proxy_delay
当接收到有一个请求已知的代理 ARP 地址的 ARP 请求时，在回应前可以延迟的 jiffy（时间单位，见BUG）数目。这样，以防止网络风暴。缺省值是0.8秒。
proxy_qlen
能放入代理 ARP 地址队列(proxy-ARP addresses)的数据包最大数目。缺省值是64。
retrans_time
重发一个请求前的等待 jiffy（时间单位，见BUG）的数目。缺省值是1秒。
ucast_solicit
询问ARP端口监控程序前，试图发送单探测（unicast probe）的次数。 (见 app_solicit). 缺省值是3秒。
unres_qlen
每个没有被其它网络层解析的地址，在队列中可存放包的最大数目。缺省值是3.

http://hi.baidu.com/kouzl/blog/item/27e63745ecf9ca388694733a.html

Reach Silu

bebece Icon

Blog Archive

Wednesday, August 19, 2009

Inouting Pen

Thursday, April 23, 2009

css中中文字体（font-family）的英文名称

Thursday, April 2, 2009

div z-index

Sunday, March 29, 2009

MySQL 索引文件损坏的提示信息 #1016 (errno: 145)

Tuesday, March 24, 2009

linux 命令

Monday, March 23, 2009