检查与确诊
检查与确诊
sysctl net.netfilter.nf_conntrack_count net.netfilter.nf_conntrack_max
conntrack -C # 当前条目数
conntrack -S # 分类统计（insert_failed/drop 等）
dmesg | grep -i conntrack | tail -5缓解参数（评估内存后调整）
缓解参数（评估内存后调整）
net.netfilter.nf_conntrack_max = 262144
net.netfilter.nf_conntrack_tcp_timeout_established = 3600表满的表现是丢包而不是报错，极易误判为链路问题；调大 nf_conntrack_max 会同步增加内核内存占用，需结合内存评估，必要时用 conntrack -D 清理陈旧条目应急。