连接跟踪 (conntrack)

一般conntrack用来指代“Connection Tracking”，即连接跟踪，是建立在 Netfilter框架之上的重要功能之一。 连接跟踪允许内核跟踪所有逻辑网络连接或会话，从而关联可能构成该连接的所有数据包。 NAT 依赖此信息以相同的方式转换所有相关数据包，而 iptables 可以使用此信息充当有状态防火墙。

Conntrack modules and hooks 这篇文章的概览很清楚地介绍了连接跟踪系统的作用，这里翻译记录在这里，对我来说其中最重要的一点是理解conntrack是一位“透明观察者”：

连接跟踪的目的是什么，它有什么作用？一旦激活连接跟踪（Linux 内核中的 ct 系统），它会检查 IPv4 和/或 IPv6 网络数据包及其有效负载，以确定哪些数据包相互关联，例如在面向连接的协议（如 TCP）的范围内。 ct 系统作为透明观察者执行此任务，并不积极参与端点之间的通信。连接的端点是本地的还是远程与 ct 系统无关。它们可以都位于远程主机上，在这种情况下，ct 系统在给特定连接的数据包充当路由或桥接角色的主机上观察它们。一个连接中的一个甚至两个端点都可以是运行 ct 系统的同一主机上的本地套接字。这对ct系统来说没区别。 ct 系统维护所有跟踪连接的最新（实时）列表。基于此，它通过为每个数据包提供一个指向其跟踪连接实例之一的引用（指针）来给网络数据包遍历内核网络堆栈时“分类”。因此，其他内核组件可以访问此连接关联并基于此做出决策。使用它的两个最突出的候选者是 NAT 子系统以及Iptables和Nftables 的状态包过滤模块。 ct 系统本身从不改变/ *** 纵数据包。它通常也不会丢弃数据包，只可能在极少数情况下发生这种情况。在检查数据包内容时，它主要关注 OSI模型的第 3 层和第 4 层。它能够跟踪 TCP、UDP、ICMP、ICMPv6、SCTP、DCCP 和 GRE 连接。可见ct 系统对“连接”的定义不限于面向连接的协议，因为刚才提到的某些协议不是面向连接的。例如它将 ICMP echo 请求和echo回复 (ping) 视为“连接”并处理。 ct 系统提供了几个辅助/扩展组件，将其跟踪能力扩展到应用层，例如跟踪协议，如 FTP、TFTP、IRC、PPTP、SIP等。

conntrack-tools 是一组用于 Linux 的免费软件用户空间工具，允许系统管理员与连接跟踪系统进行交互，conntrack-tools包括用户空间守护进程 conntrackd 和命令行界面 conntrack。

内核中关于conntrack模块的配置参数及默认值可以参考 Kernel文档 或者通过命令 sysctl -a | grep conntrack 来查看

1、查看Web服务器（Nginx Apache）的并发请求数及其TCP连接状态：

netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}

netstat -n|grep ^tcp|awk '{print $NF}'|sort -nr|uniq -c

或者：

netstat -n | awk '/^tcp/ {++state[$NF]} END {for(key in state) print key,"t",state[key]}

返回结果一般如下：

LAST_ACK 5 （正在等待处理的请求数）

SYN_RECV 30

ESTABLISHED 1597 （正常数据传输状态）

FIN_WAIT1 51

FIN_WAIT2 504

TIME_WAIT 1057 （处理完毕，等待超时结束的请求数）

其他参数说明：

CLOSED：无连接是活动的或正在进行

LISTEN：服务器在等待进入呼叫

SYN_RECV：一个连接请求已经到达，等待确认

SYN_SENT：应用已经开始，打开一个连接

ESTABLISHED：正常数据传输状态

FIN_WAIT1：应用说它已经完成

FIN_WAIT2：另一边已同意释放

ITMED_WAIT：等待所有分组死掉

CLOSING：两边同时尝试关闭

TIME_WAIT：另一边已初始化一个释放

LAST_ACK：等待所有分组死掉

2、查看Nginx运行进程数

ps -ef | grep nginx | wc -l

返回的数字就是nginx的运行进程数，如果是apache则执行

ps -ef | grep httpd | wc -l

3、查看Web服务器进程连接数：

netstat -antp | grep 80 | grep ESTABLISHED -c

linux查看网络链接状况命令 netstat 参数如下： -a 显示所有socket，包括正在监听的。 -c 每隔1秒就重新显示一遍，直到用户中断它。 -i 显示所有网络接口的信息，格式同“ifconfig -e”。 -n 以网络IP地址代替名称，显示出网络连接情形。

---