Conntrack Table とは？

conntrack table は、NAT と stateful な firewall が戻りのトラフィックを正しい flow に一致させられるよう、各アクティブなネットワーク接続の状態を追跡するカーネルのデータ構造です。エントリ数に上限があり、それを使い切ると新しい接続が drop されます。iptables を介した service のルーティングはこれに大きく依存します。

なぜ重要か

conntrack table が満杯になると、高負荷時に接続が謎に drop される形で現れ、これは忙しい CI node でよく起こります。それが有限であると知ることでこれらの失敗が説明でき、サイズの調整が役立つ理由も分かります。

関連ガイド