conntrack表满导致丢包需分步解决：先临时扩容（如sysctl -w net.netfilter.nf_conntrack_max=131072）并调短超时，再持久化配置；再精准分析连接状态、限制异常连接或禁用非必要conntrack；最后通过Keep-Alive、硬件卸载、优化NAT等架构手段根治。
出现 nf_conntrack: table full, dropping packet 表示连接跟踪表（conntrack table）已满，内核被迫丢弃新连接的数据包，通常发生在高并发短连接场景（如 Web 负载均衡、API 网关、爬虫入口、NAT 网关等）。缓解需分两步：**快速止血**（临时扩容）和**长期调优**（合理配置+架构优化）。
快速缓解：临时扩大 conntrack 表容量
立即生效，不需重启，适用于流量突发或紧急排障：
- 查看当前设置：
sysctl net.netfilter.nf_conntrack_max - 查看当前使用量：
cat /proc/sys/net/netfilter/nf_conntrack_count或conntrack -C - 临时扩容（例如设为 131072）：
sysctl -w net.netfilter.nf_conntrack_max=131072 - 同时可适当放宽超时时间，减少条目堆积（如 TCP ESTABLISHED 从默认 432000 秒缩短为 300 秒）：
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=300
永久生效：写入 sysctl 配置文件
避免重启后恢复默认值，需持久化设置：
- 编辑
/etc/sysctl.conf或新建/etc/sysctl.d/99-conntrack.conf： - 添加以下内容（数值按实际负载调整，非越大越好）：
net.netfilter.nf_conntrack_max = 131072
net.netfilter.nf_conntrack_tcp_timeout_established = 300
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60 - 加载配置：
sysctl --system（推荐）或sysctl -p
精准调优：避免盲目增大，关注真实瓶颈
单纯调大 nf_conntrack_max 可能掩盖问题，甚至引发 OOM。应结合连接特征分析：
- 用
conntrack -L | head -20查看典型连接状态分布，重点关注大量TIME_WAIT或UNREPLIED条目 - 若短连接多（如 HTTP），降低
nf_conntrack_tcp_timeout_time_wait（默认 120s，可设为 30–60s）更有效 - 若存在大量扫描/异常连接，启用连接限制（如
iptables -A INPUT -p tcp -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP）比扩容更治本 - 确认是否真需 conntrack：纯转发且无 NAT 的场景，可考虑禁用（
sysctl -w net.netfilter.nf_conntrack_enable=0），但需确保不依赖 connection tracking 功能（如 stateful firewall 规则）
架构级优化：减少 conntrack 压力源
从源头降低跟踪负担，比内核参数调优更可持续：
- Web 层启用 HTTP Keep-Alive，减少 TCP 连接频次
- NAT 网关类设备升级到支持硬件 offload 或 conntrack bypass 的型号（如某些 DPU 或智能网卡）
- 在负载均衡器（如 Nginx、HAProxy）开启
proxy_protocol并透传客户端 IP，避免在后端节点重复做 SNAT/DNAT - 容器环境慎用
hostNetwork: true+ iptables DNAT 组合，易导致 conntrack 表爆炸；优先用 CNI 插件原生路由模式
