kernel: nf_conntrack: table full, dropping packet

Dec 22 20:51:48 router kernel: [275631.942773] nf_conntrack: table full, dropping packet.
Dec 23 07:36:25 router kernel: [314263.002615] nf_conntrack: table full, dropping packet.
Dec 24 04:36:28 router kernel: [389775.805820] nf_conntrack: table full, dropping packet.

Подобные ошибки в /var/log/syslog означают переполнение таблицы nf_conntrack в iptables. Это компонент netfilter, отслеживающий состояния соединений и классифицирующий принадлежащие этим соединениям пакеты.

Смотрим текущий размер таблицы nf_conntrack:

root@router ~ # sysctl -a | grep conntrack_max
net.netfilter.nf_conntrack_max = 15916
net.ipv4.netfilter.ip_conntrack_max = 15916
net.nf_conntrack_max = 15916

Увеличим размер таблицы nf_conntrack:

root@router ~ # echo "netr.nf_conntrack_max=65536" >> /etc/sysctl.conf

и применим внесенные изменения:

root@router ~ # sysctl -p

Проверяем:

root@router ~ # sysctl -a | grep conntrack_max
net.netfilter.nf_conntrack_max = 65536
net.ipv4.netfilter.ip_conntrack_max = 65536
net.nf_conntrack_max = 65536

Если ошибка будет повторяться, размер таблицы nf_conntrack потребуется увеличить еще больше.