| 常见现象 | 部分用户偶发失败、内网访问公网域名超时、连接数暴涨后新连接全挂 |
|---|---|
| 关键证据 | NAT 会话表（conntrack/网关会话）、公网侧抓包 |
| 排障核心 | 同一连接在 NAT 前后的源/目的如何改写 |
查 NAT 会话与统计（Linux conntrack）
查 NAT 会话与统计（Linux conntrack）
conntrack -L -p tcp --dport 443 | head -20
conntrack -S | grep -E 'insert_failed|drop'
sysctl net.netfilter.nf_conntrack_count net.netfilter.nf_conntrack_maxhairpin（内网访问公网映射地址）判断
hairpin（内网访问公网映射地址）判断
curl -v --connect-timeout 3 https://<公网域名或EIP>/ # 内网直连超时、外网正常 → 疑似不支持回环
# 验证：改用内网直连地址访问
curl -v --connect-timeout 3 https://<内网地址>/SNAT 端口耗尽表现为「高峰期新连接失败、已有连接正常」，与防火墙拦截极易混淆，要对比 connect 失败时段与 conntrack 计数。