• В выводе dmesg появляется ошибка nf_conntrack: table full, dropping packet.
• Сервер или Kubernetes-нода внезапно перестает принимать новые входящие TCP/UDP соединения.
• Случайные потери сетевых пакетов при нормальной нагрузке на CPU и пропускную способность сети.

1. Проверка текущего заполнения таблицы conntrack

# Текущее количество активных соединений
cat /proc/sys/net/netfilter/nf_conntrack_count

# Максимальный установленный лимит
cat /proc/sys/net/netfilter/nf_conntrack_max

# Использование таблицы в процентах
awk 'BEGIN {getline count < "/proc/sys/net/netfilter/nf_conntrack_count"; getline max < "/proc/sys/net/netfilter/nf_conntrack_max"; printf "Usage: %.2f%% (%d/%d)\n", (count/max)*100, count, max}'

2. Расчет и изменение лимитов conntrack и хэш-таблицы (buckets)

Отредактируйте /etc/sysctl.d/99-conntrack.conf:

# Увеличение максимального числа отслеживаемых соединений до 1 млн (требует ~300-400MB RAM)
net.netfilter.nf_conntrack_max = 1048576

# Уменьшение таймаутов для быстрого освобождения завершенных сессий
net.netfilter.nf_conntrack_tcp_timeout_established = 600
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 30
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 30
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
net.netfilter.nf_conntrack_generic_timeout = 60

3. Применение параметров ядра и обновление размера Buckets

sysctl --system

# Размер хэш-таблицы (buckets = max / 4)
echo 262144 > /sys/module/nf_conntrack/parameters/hashsize

4. Исключение высоконагруженного трафика из Conntrack (NOTRACK)

iptables -t raw -A PREROUTING -p tcp --dport 80 -j NOTRACK
iptables -t raw -A OUTPUT -p tcp --sport 80 -j NOTRACK