proto.lib

NAT Timeout và kết nối Half-Open

Một thiết bị NAT/firewall âm thầm xoá state entry của một kết nối sau một khoảng idle nhất định mà không báo cho hai đầu; packet tiếp theo từ client hoặc server bị rơi hoặc bị reset dù cả hai vẫn tin kết nối đang ESTABLISHED, nên kết nối idle lâu qua NAT cần keepalive ngắn hơn timeout của middlebox.

TransportTrung bình2026-08-25
NAT Timeout và kết nối Half-Open

Tags

#nat#timeout#half-open#keepalive#middlebox#firewall#idle-connection

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

TransportTrung bình

Transport Keepalive vs Application Heartbeat

TCP keepalive chỉ chứng minh đường truyền và tầng network/transport của peer còn sống, hoàn toàn vô hình với tầng ứng dụng nên một server bị treo (deadlock, event loop kẹt) vẫn qua được keepalive; heartbeat ở tầng ứng dụng mới chứng minh vòng lặp xử lý thực sự đang chạy, và mỗi cơ chế cần interval, timeout và hành động khi fail riêng.

#keepalive#heartbeat#liveness#failure-detection
TransportNâng cao

Conntrack table full: mất kết nối hàng loạt do bảng NAT/firewall đầy

Firewall/NAT stateful (netfilter conntrack trên Linux) giữ một entry theo dõi trạng thái cho mỗi flow, mỗi entry có timeout riêng theo trạng thái; khi bảng đạt nf_conntrack_max, các kết nối MỚI bị DROP âm thầm (không reject) nên host khoẻ mạnh vẫn thấy connect timeout ngẫu nhiên khi tải cao, log ghi 'nf_conntrack: table full, dropping packet'.

#conntrack#netfilter#nat#connection-tracking
TransportNâng cao

Middlebox strip TCP option: lỗi không đầu nào thấy

Một middlebox trên đường đi có thể rewrite hoặc xoá các TCP option (timestamps, window scale, SACK, hoặc option lạ) trong SYN, khiến cả hai đầu kết nối lặng lẽ mất tính năng đó và hoạt động kém hơn mà không có lỗi rõ ràng nào được báo.

#middlebox#tcp-options#window-scale#sack