"nf_conntrack: table full, dropping packet. " 的问题

在iptables规则中使用state状态标记时，会记录每一个连接的详细信息。

 -m state --state RELATED,ESTABLISHED -j ACCEPT

对于web服务器，当连接数过多时，出现 ‘nf_conntrack: table full, dropping packet.’ 错误。

• 可修改参数 /proc/sys/net/netfilter/nf_conntrack_max 来解决问题，但是，为保存连接信息需要消耗一定内存。

• 对web服务器，访问服务器80端口的连接没有必要进行记录。

可以在raw表中添加规则：

#TCP 80/443端口的数据包不记录
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j NOTRACK 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 443 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 80 -j NOTRACK 
-A OUTPUT -p tcp -m tcp --sport 443 -j NOTRACK