참고 : netfilter는 iptables가 방화벽 기능을 구현할 수 있게 프레임워크를 제공한다고 생각할 수 있으며,
iptables는 커널에 방화벽 정책을 전달하는 사용자 도구라고 볼 수 있습니다.
conntrack 모듈이란?
현재 접속상태에 대한 정보를 일정시간동안 시스템에서 기억하는 모듈 이며
iptables에서 현재 테이블에 등록된 IP의 연결을 추적하기 위한 것입니다.
2.6.x 버전 이상에서는 nf_conntrack 이라는 명칭으로 바뀌었다고 합니다.
nf_conntrack 위치는 /proc/sys/net/nf_conntrack_max 입니다.
여기서는 CentOS 5.x 기준으로 2.4 버전을 사용하고 있어 ip_conntrack 기준으로 설명하겠습니다.
conntrack 모듈의 테이블을 구성하는 값은 2가지 입니다.
– CONNTRACK_MAX : 커널 메모리 상에서 netfilter가 동시에 처리하는 세션의 수
– HASHSIZE : CONTRACK 엔트리의 리스트를 저장할 해쉬 테이블의 사이즈
kernel: ip_conntrack version 2.4 (8192 buckets, 65536 max) – 228 bytes per conntrack
netfilter의 conntrack 하나당 228 byte가 필요하며ㅡ 최대 65536개 만큼 처리가 가능하다는 문구 입니다.
ip_conntrack : table full, dropping packet.
위 오류 메시지는 ip_conntrack 모듈의 테이블을 모두 사용하여 나머지 패킷을 drop시킬 때 발생합니다.
보통 이런 메시지가 나올때는 터미널접속이 안되므로 콘솔에서 아래의 명령어들을 사용하여 원인 분석 및 처리합니다.
1. 서버의 conntrack 제한 값 확인
[root@moon]# cat /proc/sys/net/ipv4/ip_conntrack_max
2-1. iptables 의 체인별 패킷 및 바이트 정보 확인
[root@moon]# iptables -vL
or
[root@moon]# iptables -vnL
2-2. 모든 체인의 패킷과 바이트 카운터값 초기화
[root@moon]# iptables -Z
옵션 설명
-v : 정보를 패킷과 바이트까지 보여줍니다.
-n : 문자정보를 숫자정보로 변경하여 보여줍니다. (IP주소, 포트)
-L : 전체 체인의 패킷을 숫자형태로 보여줍니다.
3-1. conntrack 테이블에 저장 된 정보 확인
[root@moon]# cat /proc/net/ip_conntrack
> 이용하여 파일로 저장 후 엑셀로 불러 분석하는게 편할듯..
3-2. 현재 사용하는 세션 수 확인
[root@moon]# wc -l /proc/net/ip_conntrack
or
[root@moon]# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_count
3-3. 현재 사용하는 세션 수 실시간 확인 (watch 사용)
[root@moon]# watch -d cat /proc/sys/net/ipv4/netfilter/ip_conntrack_count
or
[root@moon]# watch -n1 “cat /proc/sys/net/ipv4/netfilter/ip_conntrack_count”
응용
상태별 확인 : [root@moon]# watch -d -n3 ‘grep ^tcp /proc/net/ip_conntrack | awk ‘”‘”‘{print $4}'”‘”‘ | sort | uniq -c’
출발지별 확인 : awk ‘”‘”‘{print $5}'”‘”‘
도착지별 확인 : awk ‘”‘”‘{print $6}'”‘”‘
모든 정보 확인 : awk ‘”‘”‘{print $숫자}'”‘”‘ 삭제
4. conntrack의 세션 처리량 늘리기 (개인적으로 비추천. 서버에 무리가 발생하여 다른 문제가 발생될 수 있음)
100000으로 변경
[root@moon]# echo 100000 > /proc/sys/net/ipv4/ip_conntrack_max
제한없음으로 변경
[root@moon]# echo 0 > /proc/sys/net/ipv4/ip_conntrack_max
iptables는 커널에 방화벽 정책을 전달하는 사용자 도구라고 볼 수 있습니다.
conntrack 모듈이란?
현재 접속상태에 대한 정보를 일정시간동안 시스템에서 기억하는 모듈 이며
iptables에서 현재 테이블에 등록된 IP의 연결을 추적하기 위한 것입니다.
2.6.x 버전 이상에서는 nf_conntrack 이라는 명칭으로 바뀌었다고 합니다.
nf_conntrack 위치는 /proc/sys/net/nf_conntrack_max 입니다.
여기서는 CentOS 5.x 기준으로 2.4 버전을 사용하고 있어 ip_conntrack 기준으로 설명하겠습니다.
conntrack 모듈의 테이블을 구성하는 값은 2가지 입니다.
– CONNTRACK_MAX : 커널 메모리 상에서 netfilter가 동시에 처리하는 세션의 수
– HASHSIZE : CONTRACK 엔트리의 리스트를 저장할 해쉬 테이블의 사이즈
kernel: ip_conntrack version 2.4 (8192 buckets, 65536 max) – 228 bytes per conntrack
netfilter의 conntrack 하나당 228 byte가 필요하며ㅡ 최대 65536개 만큼 처리가 가능하다는 문구 입니다.
ip_conntrack : table full, dropping packet.
위 오류 메시지는 ip_conntrack 모듈의 테이블을 모두 사용하여 나머지 패킷을 drop시킬 때 발생합니다.
보통 이런 메시지가 나올때는 터미널접속이 안되므로 콘솔에서 아래의 명령어들을 사용하여 원인 분석 및 처리합니다.
1. 서버의 conntrack 제한 값 확인
[root@moon]# cat /proc/sys/net/ipv4/ip_conntrack_max
2-1. iptables 의 체인별 패킷 및 바이트 정보 확인
[root@moon]# iptables -vL
or
[root@moon]# iptables -vnL
2-2. 모든 체인의 패킷과 바이트 카운터값 초기화
[root@moon]# iptables -Z
옵션 설명
-v : 정보를 패킷과 바이트까지 보여줍니다.
-n : 문자정보를 숫자정보로 변경하여 보여줍니다. (IP주소, 포트)
-L : 전체 체인의 패킷을 숫자형태로 보여줍니다.
3-1. conntrack 테이블에 저장 된 정보 확인
[root@moon]# cat /proc/net/ip_conntrack
> 이용하여 파일로 저장 후 엑셀로 불러 분석하는게 편할듯..
3-2. 현재 사용하는 세션 수 확인
[root@moon]# wc -l /proc/net/ip_conntrack
or
[root@moon]# cat /proc/sys/net/ipv4/netfilter/ip_conntrack_count
3-3. 현재 사용하는 세션 수 실시간 확인 (watch 사용)
[root@moon]# watch -d cat /proc/sys/net/ipv4/netfilter/ip_conntrack_count
or
[root@moon]# watch -n1 “cat /proc/sys/net/ipv4/netfilter/ip_conntrack_count”
응용
상태별 확인 : [root@moon]# watch -d -n3 ‘grep ^tcp /proc/net/ip_conntrack | awk ‘”‘”‘{print $4}'”‘”‘ | sort | uniq -c’
출발지별 확인 : awk ‘”‘”‘{print $5}'”‘”‘
도착지별 확인 : awk ‘”‘”‘{print $6}'”‘”‘
모든 정보 확인 : awk ‘”‘”‘{print $숫자}'”‘”‘ 삭제
4. conntrack의 세션 처리량 늘리기 (개인적으로 비추천. 서버에 무리가 발생하여 다른 문제가 발생될 수 있음)
100000으로 변경
[root@moon]# echo 100000 > /proc/sys/net/ipv4/ip_conntrack_max
제한없음으로 변경
[root@moon]# echo 0 > /proc/sys/net/ipv4/ip_conntrack_max
H