netstat 和 ip_conntrack 连接计数在数量级上有所不同。为什么？

Question

在 /proc/net/ip_conntrack 我有：

established 3076
time_wait 4346
total 7468

在 netstat 我有：

established 1051
time_wait 73
total 1165

这是为什么？其他联系在哪里？如何弄清楚他们在做什么？

更新：有关 ip_conntrack 的更多统计信息

assured 5230
unreplied 2133
total 7427

Answer 1

Conntrack模块会在最近的连接最终过期之前记住 X 秒。据我了解，这是因为 iptables 有几个其他模块可以利用此信息：例如，如果某个 IP 地址在某个时间范围内建立了 X 个新连接，则您想禁止该地址。

netstat另一方面，显示实时信息，对古代历史不感兴趣。

您是否增加了 conntrack 表中的最大条目数？对于最近的内核，什么是

sysctl net.ipv4.netfilter.ip_conntrack_max

...或者使用一些较旧的内核，

sysctl net.ipv4.ip_conntrack_max

回到你身边？您可以通过永久提高该值/etc/sysctl.conf或通过暂时（直到下次重新启动）提高该值sysctl -w net.ipv4.ip_conntrack_max