主页 / server / 问题 / 43679
Accepted
reconbot
Asked: 2009-07-22 10:22:52 +0800 CST

使用 UFW 禁用端口 80 的连接跟踪

  • 772

在负载测试期间，我的服务器在资源耗尽之前由于“连接跟踪”方式丢弃了数据包。我正在使用带有 ufw 的 Ubuntu Jaunty。在我的系统日志中，我得到：

ip_conntrack: table full, dropping packet.

我查看了增加最大连接表大小，但我不知道在这些端口上跟踪这些连接有什么好处。我想知道如何使用 ufw 告诉它不要跟踪对端口 80 和 443 的请求。

澄清

  • 无需 natting，它只是一个 Web 服务器。

谢谢你。

firewall linux ubuntu ufw

3 个回答

  1. iptables -A PREROUTING -p tcp --dport 80 -j NOTRACK 
iptables -A PREROUTING -p tcp --dport 443 -j NOTRACK

    将为这些端口禁用连接跟踪。

    • 4
  2. Best Answer

    连接跟踪是一个开/关开关，您不能针对某种流量选择性地禁用它。您应该增加通过 . 下的各种 nf_conntrack_max 选项跟踪的连接数/proc/sys/net。您还可以考虑启用 syncookies 以减少拥塞效应。

    编辑：似乎 iptables-j NOTRACK允许您有选择地禁用连接跟踪。

    • 0

  3. 你NAT吗？我相信没有 ip_conntrack 你不能 NAT。

    • -1

相关问题