客户端与网关两侧
客户端与网关两侧
ss -Htan state syn-sent | wc -l
ss -Htan state syn-sent | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head
# 网关/NAT 侧：
conntrack -C; conntrack -S | head
cat /proc/sys/net/netfilter/nf_conntrack_count /proc/sys/net/netfilter/nf_conntrack_max| 症状 | 到同一目标大量 SYN_SENT、超时与偶发成功并存 |
|---|---|
| 根因 | NAT 源端口池耗尽或会话表满 |
| 缓解 | 扩大出口 IP/端口范围、缩短 TW、客户端改长连接、拆分出口 |
| 关联 | 与 conntrack 表满常同时发生 |
内网多客户端经同一 NAT 出访同一目标时最先耗尽端口：(源地址:端口, 目的地址:端口) 组合里前三项受限。