【求助】nf_conntrack记录不对

bripengandre

各位，help me。
      用内核版本分别为2.6.18、2.16.23和2.6.25三台机器做大并发的NAT服务器。三个服务器是级联的，从lan至wan分别是：2.6.25-->2.623-->2.6.18。三个服务器做了如下的相同配置：
i）将它们的并发连接数nf_conntrack_max都改成了131072；
ii）相应的hashsize通过 echo 32768 > sys/module/nf_conntrack/parameters/hashsize改成了32768,但expect_hashsize保持为默认值；
iii）相应的nf_conntrack_tcp_timeout_established 改成了1500s。
   出现的问题如下：
i）2.6.23的的nf_conntrack_count曾累积趋势，虽然有时候也下降了一些，但总体趋势是增加的，而另外两个内核的nf_conntrack_count随网络状况能动态的更新。
ii）cat /proc/net/nf_conntrack > wc -l，发现2.6.23的nf_conntrack 记录总只有nf_conntrack_count的一半左右，而其他两个内核的记录数和nf_conntack持平；
iii）cat /proc/slabinfo，发现2.6.23所占用的slab存储与nf_conntrack_count是一致的（当然，其它两个内核也是一致的）

    因为三个服务器是级联的，所以三者的nf_conntrak_count应基本一致，所以从问题i)~iii)看来，2.6.23中的nf_conntrack连接没有及时释放，而且其记录信息不全，感觉是内核的bug（因为其他原因，换内核工作量太大）。请问该如何解决这些问题呢？毕竟连接数如果总是累加，就会很快达到我们的设定上限的~~
    非常感谢~~~

[ 本帖最后由 bripengandre 于 2009-7-30 15:36 编辑 ]

Godbach

在你改动这些默认值之前，测试的情况怎么样。

bripengandre

原帖由 platinum 于 2009-7-30 16:58 发表
看一下几个版本的 sysctl 中 "conntrack.*timeout" 字样的所有数值是否一致？

  所有配置都一样的，只是内核版本不一样~~

platinum

看一下几个版本的 sysctl 中 "conntrack.*timeout" 字样的所有数值是否一致？

bripengandre

原帖由 Godbach 于 2009-7-30 16:06 发表
能否在链接比较少的时候，做一下对比呢

   连接数为16384左右时也是这个现象，因为我们需求的连接数比较大，所以少连接的情况就没考虑了~~

Godbach

能否在链接比较少的时候，做一下对比呢

bripengandre

原帖由 Godbach 于 2009-7-30 15:52 发表
你这里是修改了内核代码，还只是在用户空间修改了这几个值而已

   2.6.18是修改了宏，其它的是用户空间操作proc项~~~

Godbach

你这里是修改了内核代码，还只是在用户空间修改了这几个值而已

bripengandre

原帖由 Godbach 于 2009-7-30 15:46 发表
2.6.18的内核版本中修改conntrack的相关参数并不是你上面说的那种方法吧

2.6.18是没有那个项的，我为了叙述方便。。。事实上是硬编译进去的~~~

Godbach

2.6.18的内核版本中修改conntrack的相关参数并不是你上面说的那种方法吧