Linux Sunucuda Conntrack Table Dolması Sorunu

Linux sunucularda conntrack tablosunun dolması, ağ trafiğinin yoğunlaştığı ortamlarda sık karşılaşılan kritik bir sorundur. Bu tablo, netfilter framework’ünün bir parçası olarak aktif bağlantıları izler ve güvenlik duvarı kurallarının doğru uygulanmasını sağlar. Tablo kapasitesine ulaşıldığında yeni bağlantılar reddedilir, bu da hizmet kesintilerine yol açar. Özellikle yüksek trafikli web sunucuları, DDoS saldırıları veya yanlış yapılandırılmış ağ cihazlarında bu sorun belirginleşir. Bu makalede, sorunun kökenlerini anlayarak etkili teşhis ve çözüm stratejilerini adım adım ele alacağız. Sunucu yöneticileri için pratik rehberlik sunarak, kesintisiz operasyonel sürekliliği hedefliyoruz.

Conntrack Tablosunun Temel İşleyişi

Conntrack tablosu, Linux kernel’inde IP bağlantılarını takip etmek için kullanılır. Her aktif bağlantı (TCP, UDP, ICMP gibi) tabloya bir giriş olarak kaydedilir. Bu girişler, kaynak/destinasyon IP’leri, portlar, protokol ve durum bilgilerini içerir. Varsayılan kapasite, sistem belleğine göre belirlenir ve genellikle 65.536 girişle sınırlıdır, ancak bu değer /proc/sys/net/netfilter/nf_conntrack_max ile ayarlanabilir.

Tablo dolduğunda kernel, yeni bağlantıları “nf_conntrack: table full, dropping packet” hatasıyla reddeder. Bu mekanizma, bellek taşmasını önler ancak hizmet kalitesini düşürür. Sunucu yöneticileri, tabloyu düzenli izleyerek proaktif önlemler almalıdır. Örneğin, kısa ömürlü bağlantılar (SYN flood gibi) tabloyu hızla doldurabilir.

Tablo Kapasitesini Belirleme

Sistemdeki mevcut nf_conntrack_max değerini öğrenmek için cat /proc/sys/net/netfilter/nf_conntrack_max komutunu çalıştırın. Güncel kullanım için cat /proc/sys/net/netfilter/nf_conntrack_count kullanın. Bu değerler, tablonun ne kadar dolu olduğunu gösterir. Yüksek yük altında count değeri max’e yaklaşırsa sorun yakındır. Bellek optimizasyonu için hash tablosu boyutu da /proc/sys/net/netfilter/nf_conntrack_buckets ile ayarlanır, ideal olarak max’in 1/4’ü kadar olmalıdır.

Conntrack Modül Yapılandırması

Conntrack modülünü yüklemek için modprobe nf_conntrack komutunu kullanın. Kalıcı yapılandırma için /etc/sysctl.conf dosyasına net.netfilter.nf_conntrack_max = 262144 gibi satırlar ekleyin ve sysctl -p ile uygulayın. Bu değişiklikler, yeniden başlatmada korunur ve yüksek trafikli sunucular için esneklik sağlar.

Sorunun Nedenleri ve Belirtileri

Conntrack tablosu dolması genellikle ani trafik artışlarından kaynaklanır. DDoS saldırıları, botnet trafiği veya yanlış yapılandırılmış load balancer’lar tabloyu hızla tüketir. Ayrıca, uzun süreli UDP bağlantıları (örneğin DNS sorguları) veya TCP TIME_WAIT durumları birikir. Sistem loglarında “nf_conntrack: table full” mesajları görülür ve netstat veya ss komutları anormal bağlantı sayılarını ortaya koyar.

Belirtileri arasında web sitelerine erişim sorunları, SSH bağlantı reddi ve uygulama hataları yer alır. İzleme için Prometheus veya Nagios gibi araçlar entegre edilebilir, ancak temel komutlarla bile teşhis mümkündür. Erken tespit, veri kaybını önler.

Yaygın Tetikleyiciler

DDoS saldırılarında SYN paketleri tabloyu doldurur; bu, tcp_syncookies etkinleştirilerek hafifletilebilir (sysctl -w net.ipv4.tcp_syncookies=1). UDP flood’lar için rate limiting kuralları iptables ile tanımlanır: iptables -A INPUT -p udp --dport 53 -m limit --limit 100/s -j ACCEPT. Uygulama kaynaklı sorunlarda, örneğin Apache’nin keep-alive ayarları optimize edilmelidir.

Tespit Yöntemleri

Logları inceleyin: dmesg | grep conntrack veya journalctl -k | grep nf_conntrack. Aktif bağlantıları listeleyin: conntrack -L | wc -l. Bu komutlar, sorunun gerçek zamanlı izlenmesini sağlar ve kök nedeni belirlemede kritik rol oynar. Grafik araçlar için conntrack-tools paketini yükleyin.

Çözüm ve Önleme Stratejileri

Acil çözüm için tabloyu sıfırlayın: conntrack -F, ancak bu mevcut bağlantıları keser. Kalıcı olarak nf_conntrack_max’i artırın ve bellek limitlerini gözden geçirin. iptables kurallarıyla gereksiz trafiği filtreleyin. Fail2ban gibi araçlar brute-force saldırılarını engelleyerek tablo yükünü azaltır.

Önleme için düzenli bakım şarttır: Haftalık tablo temizliği cron job’u ekleyin (0 2 * * 0 conntrack -F). Kernel parametrelerini optimize edin ve monitöring kurun. Bu yaklaşımlar, sunucu stabilitesini artırır.

Kısa Vadeli Müdahaleler

Tablo dolduğunda öncelikle trafiği sınırlayın: iptables -P INPUT DROP; iptables -F ile temizleyin, ardından kuralları yeniden yükleyin. Bellek baskısını azaltmak için echo 1 > /proc/sys/net/netfilter/nf_conntrack_tcp_loose=1 ayarını yapın; bu, eski bağlantıları daha agresif temizler. Yeniden başlatma son çaredir.

Uzun Vadeli Yapılandırmalar

/etc/sysctl.conf’a ekleyin: net.netfilter.nf_conntrack_tcp_timeout_established=3600 (varsayılan 432000 sn yerine). Bu, idle bağlantıları erken sonlandırır. conntrackd daemon’u ile yüksek erişilebilirlik sağlayın; senkronizasyon için konfigürasyon dosyası oluşturun. Test ortamında değişiklikleri doğrulayın.

Conntrack tablosu dolması sorununu yönetmek, Linux sunucuların ağ güvenilirliğini doğrudan etkiler. Yukarıdaki adımları uygulayarak, proaktif bir yaklaşım benimseyin ve düzenli izlemeyle olası kesintileri minimize edin. Bu stratejiler, kurumsal ortamlarda kesintisiz hizmet için temel oluşturur ve operasyonel verimliliği artırır.