Дефолтный лимит таблицы conntrack на большинстве систем подобран не под вашу нагрузку, а под усреднённый случай — и на сервере с NAT, VPN-шлюзом или высоконагруженным бэкендом он часто оказывается тесен. Проблема в том, что узнаёте вы об этом обычно не заранее, а в момент, когда часть новых соединений начинает молча отваливаться при внешне здоровом сервере. Разберём, как посчитать нужный размер таблицы заранее, по цифрам вашей собственной нагрузки, а не подбором на живую систему.
Подробнее →