conntrack表满导致丢包时，应先清理无效连接（conntrack -D --state INVALID,UNREPLIED）、临时扩容（sysctl -w net.netfilter.nf_conntrack_max=131072）、调整哈希桶数、定位并限流异常源IP，必要时用NOTRACK跳过非必要跟踪。
当出现 conntrack table full, dropping packet 错误时，说明内核连接跟踪表（nf_conntrack）已满，新连接无法被跟踪，从而被丢弃。这不是根本解决办法，但可快速恢复业务。
立即清空 conntrack 表（临时生效）
运行以下命令可立刻释放所有已建立但空闲的连接条目：
-
conntrack -F—— 清空整个 conntrack 表（慎用，会中断所有已有连接状态，如 NAT、FTP 等依赖连接跟踪的流量） -
conntrack -D --state INVALID,UNREPLIED—— 更安全：只删除无效或未应答的连接，保留 ESTABLISHED/RELATED -
conntrack -D --src-nat --dst-nat—— 若大量 NAT 连接堆积，可针对性清理 NAT 相关条目
临时扩大 conntrack 表上限
在不重启服务的前提下提高容量限制：
- 查看当前设置：
sysctl net.netfilter.nf_conntrack_max - 临时扩容（例如设为 131072）：
sysctl -w net.netfilter.nf_conntrack_max=131072 - 同时建议同步调整哈希表大小（避免哈希冲突加剧）：
sysctl -w net.netfilter.nf_conntrack_buckets=32768（通常为 max 的 1/4）
快速识别并清理异常连接源
定位高频新建连接的 IP 或端口，防止短时间打爆表：
- 统计连接数最多的源 IP：
conntrack -L | awk '{print $7}' | cut -d= -f2 | sort | uniq -c | sort -nr | head -20 - 查看特定端口（如 80/443）连接数：
conntrack -L | grep "dport=80" | wc -l - 确认是否为扫描、CC 攻击或客户端重连风暴，必要时通过 iptables 限速或封禁：
iptables -A INPUT -s x.x.x.x -m connlimit --connlimit-above 50 -j DROP
检查并关闭非必要连接跟踪模块
某些场景下可减少 conntrack 开销：
- 若服务器不做 NAT、不使用 ip_vs、不跑 FTP/SIP 等需连接跟踪的协议，可考虑卸载模块：
modprobe -r nf_conntrack_ftp nf_conntrack_sip nf_conntrack（注意依赖关系） - 若仅需 DNAT/SNAT 且无状态需求，改用
iptables -t nat配合 raw 表跳过跟踪：iptables -t raw -A PREROUTING -p tcp --dport 80 -j NOTRACK - 对明确不需要连接跟踪的流量（如后端健康检查），用 raw 表标记跳过：
iptables -t raw -A PREROUTING -s 10.0.0.0/8 -j NOTRACK
