proto.lib

Conntrack table full: mất kết nối hàng loạt do bảng NAT/firewall đầy

Firewall/NAT stateful (netfilter conntrack trên Linux) giữ một entry theo dõi trạng thái cho mỗi flow, mỗi entry có timeout riêng theo trạng thái; khi bảng đạt nf_conntrack_max, các kết nối MỚI bị DROP âm thầm (không reject) nên host khoẻ mạnh vẫn thấy connect timeout ngẫu nhiên khi tải cao, log ghi 'nf_conntrack: table full, dropping packet'.

TransportNâng cao2026-08-20
Conntrack table full: mất kết nối hàng loạt do bảng NAT/firewall đầy

Tags

#conntrack#netfilter#nat#connection-tracking#connect-timeout#firewall#linux-kernel

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

TransportTrung bình

NAT Timeout và kết nối Half-Open

Một thiết bị NAT/firewall âm thầm xoá state entry của một kết nối sau một khoảng idle nhất định mà không báo cho hai đầu; packet tiếp theo từ client hoặc server bị rơi hoặc bị reset dù cả hai vẫn tin kết nối đang ESTABLISHED, nên kết nối idle lâu qua NAT cần keepalive ngắn hơn timeout của middlebox.

#nat#timeout#half-open#keepalive
TransportNâng cao

Race điều kiện Conntrack với Kubernetes Service (DNAT)

kube-proxy dựng luật iptables/IPVS để DNAT một ClusterIP tới một backend cụ thể, nhưng bảng conntrack của node lưu ánh xạ đó theo từng tuple kết nối; khi backend biến mất hoặc hai luồng cùng insert một tuple, entry conntrack có thể trỏ vào một pod không còn tồn tại, gây reset và timeout trông như lỗi ứng dụng.

#conntrack#kubernetes#dnat#kube-proxy
TransportNâng cao

SO_TIMESTAMPING - Hardware timestamps

Ứng dụng lấy timestamp chính xác cấp phần cứng cho gói tin gửi/nhận qua cờ SO_TIMESTAMPING, giúp đo độ trễ mạng cực kỳ chính xác.

#so-timestamping#hardware-timestamp#ptp#socket-option