統計本機tcp各個狀態的 數量
netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'
讀取nf_conntrack 表tcp各狀態數量
cat /proc/net/nf_conntrack | grep tcp | grep "192.168.1.1" | awk '{print $6}' | sort | uniq -c | sort
1 # 表示開啟SYN Cookies。當出現SYN等待隊列溢出時，啟用cookies來處理，可防范少量SYN攻擊，默認為0，表示關閉； 2 net.ipv4.tcp_syncookies = 1 3 4 # 表示開啟重用。允許將TIME-WAIT sockets重新用於新的TCP連接，默認為0，表示關閉； 5 net.ipv4.tcp_tw_reuse = 1 6 7 # 表示開啟TCP連接中TIME-WAIT sockets的快速回收，默認為0，表示關閉。 8 net.ipv4.tcp_tw_recycle = 1 9 10 # 表示如果套接字由本端要求關閉，這個參數決定了它保持在FIN-WAIT-2狀態的時間。 11 net.ipv4.tcp_fin_timeout = 30 12 13 # 表示當keepalive起用的時候，TCP發送keepalive消息的頻度。缺省是2小時，改為20分鍾。 14 net.ipv4.tcp_keepalive_time = 1200 15 16 # 表示用於向外連接的端口范圍。缺省情況下很小：32768到61000，改為1024到65000。 17 net.ipv4.ip_local_port_range = 1024 65000 18 19 # 表示SYN隊列的長度，默認為1024，加大隊列長度為8192，可以容納更多等待連接的網絡連接數。 20 net.ipv4.tcp_max_syn_backlog = 8192 21 22 # 表示系統同時保持TIME_WAIT套接字的最大數量，如果超過這個數字，TIME_WAIT套接字將立刻被清除並打印警告信息。默認為180000，改為5000。對於Apache、Nginx等服務器，上幾行的參數可以很好地減少TIME_WAIT套接字數量， 23 但是對於Squid，效果卻不大。此項參數可以控制TIME_WAIT套接字的最大數量，避免Squid服務器被大量的TIME_WAIT套接字拖死。 24 net.ipv4.tcp_max_tw_buckets = 5000 25 26 # 路由緩存刷新頻率， 當一個路由失敗后多長時間跳到另一個 默認是300 27 net.ipv4.route.gc_timeout = 100 28 29 #對於一個新建連接，內核要發送多少個 SYN 連接請求才決定放棄。不應該大於255，默認值是5，對應於180秒左右。 30 net.ipv4.tcp_syn_retries = 1
這一部分是摘錄別人的
nf_conntrack: table full, dropping packet
先關掉iptables
/etc/init.d/iptables stop
查看當前的連接數：
# grep nf_conntrack /proc/slabinfo
查出目前 nf_conntrack 的排名：
$ cat /proc/net/nf_conntrack | cut -d ' ' -f 10 | cut -d '=' -f 2 | sort | uniq -c | sort -nr | head -n 10
優化參數
狀態跟蹤表的最大行數的設定，理論最大值 CONNTRACK_MAX = RAMSIZE (in bytes) / 16384 / (ARCH / 32)
以64G的64位操作系統為例，CONNTRACK_MAX = 64*1024*1024*1024/16384/2 = 2097152
即時生效請執行：
sysctl –w net.netfilter.nf_conntrack_max = 524288 （16G）
其哈希表大小通常為總表的1/8，最大為1/2。CONNTRACK_BUCKETS = CONNTRACK_MAX / 8
同樣64G的64位操作系統，哈希最佳范圍是 262144 ~ 1048576 。
運行狀態中通過 sysctl net.netfilter.nf_conntrack_buckets 進行查看，通過文件 /sys/module/nf_conntrack/parameters/hashsize 進行設置
或者新建 /etc/modprobe.d/iptables.conf ，重新加載模塊才生效：
options nf_conntrack hashsize = 262144
還有些相關的系統參數`sysctl -a | grep nf_conntrack`可以調優（/etc/sysctl.conf ）：
net.netfilter.nf_conntrack_max = 1048576
net.netfilter.ip_conntrack_tcp_timeout_established = 3600
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120