docker host 模式起的 nginx 量大的时候会有大量 502

[luger1990]

公司有 N 台前端机 nginx(没有用 docker 部署)称为大前端 Nginx，请求过来之后先经过前端机然后到一组业务 nginx(这个是用 docker host 模式起的 nginx) 再然后由业务 nginx 转到后端的服务。

目前问题是这样的，当大前端 nginx 到业务 nginx 的量大了之后会有很多 502 的请求，大概单台 2Kqps 的时候吧，运维同事帮忙查了查说是业务 nginx 所在机器防火墙的问题，但是 docker 又不能关了防火墙。

请问还有什么能优化的吗？

[haiyang416]

如果是我的话，会更倾向于是后代业务代码的问题，2333

[Reficul]

host 模式的容器就没有 iptables 规则和网络命名空间隔离，所以。。。。

[Imr]

防火墙是限制了流量还是限制了访问频率？没说到关键啊

[blless]

502 就是代理请求转发失败了啊 也就是后面的 nginx 响应失败或者断开了吧 内部 nginx 可以看看有没有 keepalive 之类的优化，我习惯内部用 haproxy 有个 http reuse 选项，可以复用链接

[luger1990]

@haiyang416 是从大前端都没有到我的业务 nginx，业务 nginx 提示 nf_conntrack: table full, dropping packet “连接跟踪表已满，开始丢包”

[luger1990]

@Reficul 是从大前端都没有到我的业务 nginx，业务 nginx 提示 nf_conntrack: table full, dropping packet “连接跟踪表已满，开始丢包”

[julyclyde]

把你们公司运维开了吧

[onionlc]

iptables 问题，建议排查下业务 nginx 所在机器 iptables 策略

[Reficul]

@luger1990 nf_conntrack 应该是 net filter 里的功能
http://jaseywang.me/2012/08/16/%E8%A7%A3%E5%86%B3-nf_conntrack-table-full-dropping-packet-%E7%9A%84%E5%87%A0%E7%A7%8D%E6%80%9D%E8%B7%AF/

这个问题不是 docker 带来的，至少 host 模式下不需要 iptables 也能工作。如果整个机器的容器都是 host 模式的，可以考虑把 iptables 关掉。

或者排查 iptables 规则，没有用到相关功能可以把 nf conntrack 模块禁用了。

[luger1990]

@julyclyde 这还是不行的。。。

[luger1990]

@onionlc 好 我联系运维同事帮忙看看

[luger1990]

@Reficul 我联系运维同事看看 如果查不到怎么解决的话我也打算关了防火墙

[luger1990]

应该就是防火墙的问题，关了防火墙用 host 模式启动 nginx 就没问题。

[luger1990]

解决问题了 可以参考 http://keithmo.me/post/2018/08/25/conntrack-tuning/ 这个文章 增大 nf_conntrack_max 这个参数即可