conntrackコマンドでLinuxのNAT接続追跡を診断する方法｜nf_conntrack_maxが上限に達した時の調査と恒久対処

この記事のポイント

・nf_conntrack_max枯渇は "table full, dropping packet" というdmesgログで検知できる
・現在の使用数は /proc/sys/net/netfilter/nf_conntrack_count で確認できる
・nf_conntrack_maxはRAM(GB)×65536を目安にsysctlで増やして永続化する
・TCP ESTABLISHED のタイムアウトを短縮するとエントリを大幅に削減できる

# RHEL 9 / AlmaLinux 9 / Rocky Linux 9
sudo dnf install conntrack-tools -y

# Ubuntu 24.04 / Debian 12
sudo apt install conntrack -y

# インストール確認
conntrack --version
# conntrack v1.4.8 (conntrack-tools)

sudo conntrack -L
# tcp      6 431994 ESTABLISHED src=192.168.1.100 dst=10.0.0.1 sport=51234 dport=443 \
#     src=10.0.0.1 dst=203.0.113.10 sport=443 dport=51234 [ASSURED] mark=0 use=1
# tcp      6 55 TIME_WAIT src=192.168.1.200 dst=8.8.8.8 sport=47231 dport=53 \
#     src=8.8.8.8 dst=203.0.113.10 sport=53 dport=47231 [ASSURED] mark=0 use=1
# udp      17 28 src=192.168.1.100 dst=8.8.4.4 sport=34567 dport=53 \
#     src=8.8.4.4 dst=203.0.113.10 sport=53 dport=34567 [ASSURED] mark=0 use=1
# conntrack v1.4.8 (conntrack-tools): 8412 flow entries have been shown.

# TCPのみ表示
sudo conntrack -L -p tcp

# 特定の宛先ポートのエントリを表示（例: HTTPS=443）
sudo conntrack -L -p tcp --dport 443

# 特定の送信元IPからのエントリを表示
sudo conntrack -L --src 192.168.1.100

# ESTABLISHED 状態のTCPのみ
sudo conntrack -L -p tcp --state ESTABLISHED

# 現在のエントリ総数だけを表示
sudo conntrack -C
# 8412

# 新規接続の追加イベントを監視（Ctrl+Cで停止）
sudo conntrack -E --event-mask NEW

# エントリ破棄イベントを監視
sudo conntrack -E --event-mask DESTROY

# nf_conntrack関連のカーネルログを確認
sudo dmesg | grep nf_conntrack
# [1234567.891234] nf_conntrack: nf_conntrack: table full, dropping packet
# [1234568.012345] nf_conntrack: nf_conntrack: table full, dropping packet

# journalctlでも確認できる
sudo journalctl -k | grep nf_conntrack | tail -20

# 現在の追跡エントリ数
cat /proc/sys/net/netfilter/nf_conntrack_count
# 130891

# 設定されている最大値
cat /proc/sys/net/netfilter/nf_conntrack_max
# 131072

# 使用率の確認（bashで計算）
COUNT=$(cat /proc/sys/net/netfilter/nf_conntrack_count)
MAX=$(cat /proc/sys/net/netfilter/nf_conntrack_max)
echo "使用率: $((COUNT * 100 / MAX))%  ($COUNT / $MAX)"
# 使用率: 99%  (130891 / 131072)

# 現在の最大値を確認
sysctl net.netfilter.nf_conntrack_max
# net.netfilter.nf_conntrack_max = 131072

# 一時的に変更（再起動で元に戻る）
sudo sysctl -w net.netfilter.nf_conntrack_max=262144

# 永続化：/etc/sysctl.d/ 配下に専用ファイルを作成する
sudo tee /etc/sysctl.d/99-conntrack.conf <<'EOF'
net.netfilter.nf_conntrack_max = 262144
EOF

# 設定を反映（再起動なしで有効化）
sudo sysctl -p /etc/sysctl.d/99-conntrack.conf

# 変更を確認
cat /proc/sys/net/netfilter/nf_conntrack_max
# 262144

# 現在のhashsizeを確認
cat /sys/module/nf_conntrack/parameters/hashsize
# 32768

# 実行中のカーネルへ即時反映（再起動で元に戻る）
echo 65536 | sudo tee /sys/module/nf_conntrack/parameters/hashsize

# 永続化：modprobeの設定ファイルに記載する
echo "options nf_conntrack hashsize=65536" | sudo tee /etc/modprobe.d/nf_conntrack.conf

# 設定確認
cat /etc/modprobe.d/nf_conntrack.conf
# options nf_conntrack hashsize=65536

# TCP各状態のタイムアウト値を一覧確認
sysctl -a 2>/dev/null | grep nf_conntrack_tcp_timeout
# net.netfilter.nf_conntrack_tcp_timeout_close = 10
# net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
# net.netfilter.nf_conntrack_tcp_timeout_established = 432000
# net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
# net.netfilter.nf_conntrack_tcp_timeout_last_ack = 30
# net.netfilter.nf_conntrack_tcp_timeout_syn_recv = 60
# net.netfilter.nf_conntrack_tcp_timeout_syn_sent = 120
# net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120

# ESTABLISHED タイムアウトを1時間（3600秒）に変更
sudo sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=3600

# 永続化（先ほど作成した 99-conntrack.conf に追記）
cat >> /etc/sysctl.d/99-conntrack.conf <<'EOF'
net.netfilter.nf_conntrack_tcp_timeout_established = 3600
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
EOF

sudo sysctl -p /etc/sysctl.d/99-conntrack.conf

# 5秒間隔でエントリ数を監視
watch -n 5 'echo "conntrack count: $(cat /proc/sys/net/netfilter/nf_conntrack_count) / $(cat /proc/sys/net/netfilter/nf_conntrack_max)"'
# conntrack count: 87432 / 262144
# conntrack count: 84119 / 262144
# conntrack count: 81206 / 262144