如何查看Linux网络连接追踪 conntrack状态监控-linux运维-PHP中文网

如何查看Linux网络连接追踪 conntrack状态监控

P粉602998670

发布： 2025-07-23 08:39:01

原创

465人浏览过

在linux系统上查看网络连接追踪（conntrack）状态的最直接方式是查阅 /proc/net/nf_conntrack 文件或使用 conntrack 命令行工具，其中前者提供原始数据，后者则更结构化且功能丰富。1. 查看 /proc/net/nf_conntrack 可获取协议、源/目标ip与端口、连接状态及超时时间等关键信息；2. 使用 conntrack -l 可输出格式化内容，并支持过滤如指定协议或ip；3. conntrack对排查连接断开、nat异常等问题至关重要，能提供比 netstat 更深入的信息；4. 输出中的 [unreplied] 表示回复未追踪到，[assured] 表示双向确认完成；5. tcp状态包括 syn_sent、established、time_wait 等，反映连接生命周期；6. 大量连接会增加内存和cpu负担，甚至导致新连接失败；7. 可通过调整 nf_conntrack_max 提升容量，优化超时设置，必要时清空表并监控统计信息以管理性能。

如何查看Linux网络连接追踪 conntrack状态监控

在Linux系统上，要查看网络连接追踪（conntrack）的状态，最直接的方式是查阅 /proc/net/nf_conntrack 这个文件，或者使用 conntrack 命令行工具。前者提供原始数据，后者则提供了更结构化和易读的输出，并且能做更多操作。

要详细了解Linux系统当前活跃的网络连接追踪状态，我通常会从两个角度入手。

首先，最基础但信息量巨大的方法是直接查看内核提供的伪文件系统接口：

cat /proc/net/nf_conntrack

登录后复制

这个命令会输出当前conntrack表中所有追踪到的连接信息。每一行代表一个连接，包含了协议、源IP、目标IP、源端口、目标端口、连接状态、剩余超时时间等关键数据。比如，你可能会看到类似这样的输出：

ipv4     2 tcp      6 431999 ESTABLISHED src=192.168.1.100 dst=10.0.0.5 sport=54321 dport=80 [UNREPLIED] src=10.0.0.5 dst=192.168.1.100 sport=80 dport=54321 mark=0 use=2

登录后复制

这行就告诉我，这是一个IPv4的TCP连接，状态是 ESTABLISHED，还有431999秒才会超时。它详细列出了源和目的IP、端口，以及连接的来回方向信息。对于NAT场景，你还能看到原始和转换后的IP/端口。

其次，如果你需要更友好的界面或者更强大的过滤、统计功能，conntrack 工具是你的不二之选。

conntrack -L

登录后复制

这个命令的输出和 cat /proc/net/nf_conntrack 类似，但通常会格式化得更好，并且支持多种过滤选项。例如，你想看所有TCP连接：

conntrack -L -p tcp

登录后复制

或者只想看某个特定IP的连接：

conntrack -L -s 192.168.1.100

登录后复制

我个人觉得，对于日常排查，conntrack -L 搭配 grep 往往效率最高。

为什么conntrack对于网络故障排查至关重要？

在我看来，conntrack是Linux网络栈里一个非常核心但又容易被忽视的组件，尤其在处理网络故障时，它能提供 netstat 或 ss 无法触及的深度信息。我们都知道 iptables 可以做状态防火墙，它就是基于conntrack来判断一个包是不是某个已知连接的一部分。所以，当网络行为不符合预期，比如连接偶尔断开、NAT转换有问题，或者某些应用看似连接上了但数据流不通时，conntrack表的状态就成了关键线索。

举个例子，我曾遇到一个内部服务，客户端抱怨偶尔连接不上，但 netstat 显示端口是开放的。后来一查conntrack表，发现大量连接处于 UNREPLIED 状态，这意味着客户端发出了请求，但服务器端还没回复，或者回复包在网络某个地方丢了。这直接指向了服务器应用层的问题，或者回程路由的异常，而不是防火墙直接拒绝了连接。

万物追踪

AI 追踪任何你关心的信息

查看详情

conntrack还会追踪连接的超时时间。如果一个连接因为长时间不活跃而超时，但应用程序却认为它还在，就可能导致所谓的“僵尸连接”或应用程序假死。通过监控conntrack表，你能发现这些异常超时的连接，进而调整系统参数或优化应用程序的心跳机制。

如何解读conntrack输出中的常见状态与数值？

解读 conntrack 的输出，关键在于理解其核心字段和连接状态。这玩意儿说白了，就是连接的生命周期管理。

src=IP dst=IP sport=PORT dport=PORT: 这描述了连接的原始方向，即哪个IP和端口发起了连接到哪个IP和端口。
[UNREPLIED]: 这个标记非常重要，它表示连接的回复包还没有被追踪到。对于TCP连接，通常意味着三次握手尚未完成，或者服务器的SYN/ACK包没有到达客户端。如果一个 ESTABLISHED 连接长时间处于 UNREPLIED，那肯定有问题。
[ASSURED]: 表示这个连接已经被双向确认，数据流正常。通常，只有当连接两端的第一个数据包都被看到后，才会标记为 ASSURED。这对于防止某些攻击或优化资源分配很有用。
STATE: 这是最核心的部分。对于TCP，你可能会看到：
- SYN_SENT: 客户端发送了SYN。
- SYN_RECV: 服务器收到了SYN，并发送了SYN/ACK。
- ESTABLISHED: 连接已建立，数据正在传输。
- FIN_WAIT: 一方关闭了连接。
- TIME_WAIT: 连接关闭后的等待状态，防止旧的重复包干扰新连接。
- CLOSE: 连接已关闭。
- 对于UDP，通常只有 UNREPLIED 和 ASSURED，因为UDP是无状态的，conntrack主要追踪其活跃性。
timeout: 这个数值是连接的剩余超时时间（秒）。当这个时间归零，连接就会从conntrack表中移除。不同的协议和状态有不同的默认超时时间。例如，ESTABLISHED 的TCP连接超时时间通常很长，而 TIME_WAIT 则相对较短。如果看到一个 ESTABLISHED 连接的 timeout 值很小，并且持续不增长，那可能意味着没有数据流，连接即将被清理。

实际操作中，我经常会结合 watch 命令来动态观察conntrack表的变化，比如 watch -n 1 'conntrack -L | grep ESTABLISHED'，这样就能实时看到活跃连接的增减和状态变化。

大量conntrack连接对系统性能的影响及管理策略

conntrack表并非无限大，它存储在内存中，并且每次查找都需要CPU周期。当conntrack表过大时，确实会对系统性能造成显著影响。我见过不少服务器因为conntrack表爆满，导致新连接无法建立，甚至出现高CPU使用率的问题。

主要的影响体现在：

内存消耗: 每个连接条目都会占用一定的内存。如果并发连接数非常高（比如几十万甚至上百万），累积的内存占用会相当可观。
CPU开销: 每当有新的网络包到达时，内核都需要查询conntrack表来判断这个包是否属于一个已知连接。表越大，查找的开销就越大。这在高吞吐量或高并发的场景下尤为明显。
新连接建立失败: 当conntrack表达到其最大限制（nf_conntrack_max）时，新的连接将无法被追踪，这意味着它们可能无法通过防火墙，或者NAT无法正常工作，导致服务中断。

管理conntrack表和优化其性能，有几个常用的策略：

调整 nf_conntrack_max: 这是conntrack表的最大容量。你可以通过修改 /proc/sys/net/netfilter/nf_conntrack_max 来调整它。例如：
```
echo 655360 > /proc/sys/net/netfilter/nf_conntrack_max
```
登录后复制
这个值应该根据服务器的内存大小和预期的并发连接数来设定。太小会限制服务，太大则浪费内存。
调整连接超时时间: 减小不活跃连接的超时时间可以更快地清理conntrack表。例如，对于TCP ESTABLISHED 连接，默认超时时间很长（通常是5天），这在某些场景下并不合理。你可以调整 /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established：
```
echo 7200 > /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established
```
登录后复制
将其设置为7200秒（2小时）可能更合理，但要根据你的应用特性来决定，避免过早清理活跃连接。
清理conntrack表: 在某些极端情况下，比如你发现conntrack表已经爆满，并且服务受到影响，可以考虑清空整个conntrack表。这会强制所有现有连接重新建立状态，所以要慎重操作，可能会导致短暂的服务中断：
```
conntrack -F
```
登录后复制
监控conntrack统计信息: conntrack -S 命令可以提供conntrack表的统计信息，比如当前连接数、最大连接数、丢弃的包数量等。定期查看这些数据，有助于提前发现潜在的性能瓶颈。
```
conntrack -S
```
登录后复制
关注 entries (当前条目数) 和 searched_miss (查找失败次数，可能意味着表已满或查找效率低) 等指标。