Ubuntu Server’da Netfilter Connection Tracking Ayarları

Ubuntu Server ortamlarında ağ trafiğini etkili bir şekilde yönetmek, sistem yöneticilerinin öncelikli görevlerinden biridir. Netfilter Connection Tracking (conntrack), Linux çekirdeğinin temel bir bileşeni olarak, bağlantı durumlarını izleyerek iptables veya nftables kurallarının doğru uygulanmasını sağlar. Bu mekanizma, özellikle yüksek trafikli sunucularda bellek kullanımı ve performans açısından kritik öneme sahiptir. Ubuntu Server’da conntrack ayarlarını optimize etmek, bağlantı tablolarının taşmasını önler, sistem stabilitesini artırır ve güvenlik duvarı kurallarının verimliliğini yükseltir. Bu makalede, conntrack’in temel prensiplerini, yapılandırma adımlarını ve pratik optimizasyon tekniklerini adım adım ele alacağız. Sunucu yöneticileri için somut örnekler ve talimatlarla donatılmış bu rehber, kurumsal ortamlarda doğrudan uygulanabilir bilgiler sunmaktadır.

Netfilter Connection Tracking’in Temelleri

Netfilter conntrack, ağ bağlantılarını (TCP, UDP, ICMP gibi protokoller) takip ederek her bağlantıya benzersiz bir kimlik atar. Bu sayede, yönlendirme, NAT ve filtreleme işlemleri stateful hale gelir. Çekirdek parametreleri /proc/sys/net/netfilter/ dizini altında bulunur ve nf_conntrack_max değeri maksimum bağlantı sayısını belirler. Varsayılan değerler, düşük trafikli sistemler için yeterli olsa da, web sunucuları veya veritabanı kümelerinde yetersiz kalabilir. Conntrack tablosu dolduğunda yeni bağlantılar reddedilir, bu da hizmet kesintilerine yol açar.

Ubuntu Server’da bu mekanizmayı anlamak için öncelikle mevcut konfigürasyonu incelemek şarttır. Yüksek yük altında tablo doluluğunu izlemek, proaktif yönetim sağlar. Aşağıdaki komutlar, conntrack durumunu hızlıca raporlar ve sistem kapasitesini ortaya koyar.

Conntrack Mekanizmasının İşleyişi

Conntrack, her bağlantı için kaynak IP/port, hedef IP/port, protokol ve durum bilgilerini (NEW, ESTABLISHED, RELATED, INVALID) saklar. Hash tablosu yapısı sayesinde hızlı erişim sağlar. Ubuntu 20.04 ve üzeri sürümlerde, nf_conntrack modülü varsayılan olarak yüklüdür. Yüksek trafik senaryolarında, hashsize parametresi tablo boyutunu etkiler ve genellikle nf_conntrack_max’in 1/4’ü kadar ayarlanır. Bu ayarlar, bellek tüketimini doğrudan etkilediği için RAM kapasitesine göre ölçeklendirilmelidir. Örneğin, 4 GB RAM’li bir sunucuda nf_conntrack_max’i 262144’e çıkarmak yaygındır.

Mevcut Durumu Kontrol Etme

Sistemdeki conntrack durumunu görüntülemek için cat /proc/sys/net/netfilter/nf_conntrack_count ve cat /proc/sys/net/netfilter/nf_conntrack_max komutlarını kullanın. conntrack -L ile aktif bağlantıları listeleyin. conntrack-tools paketi yüklü değilse, sudo apt update && sudo apt install conntrack ile kurun. Bu araçlar, tablo doluluğunu yüzde olarak gösterir ve sorun teşhisinde vazgeçilmezdir. Düzenli izleme için bir cron jobu ekleyin: */5 * * * * /usr/sbin/conntrack -C > /var/log/conntrack_count.log.

Ubuntu Server’da Conntrack Yapılandırması

Conntrack ayarlarını değiştirmek iki yöntemle yapılır: Geçici (sysctl ile anlık) ve kalıcı (/etc/sysctl.conf ile). Kurumsal sunucularda kalıcı ayarlar tercih edilir, çünkü yeniden başlatmalarda tutarlılık sağlar. Değişiklikler sonrası sysctl -p ile etkinleştirilir. Bu işlemler, düşük riskli olup test ortamında doğrulanmalıdır.

1. Sudo yetkisiyle sysctl dosyasını düzenleyin: sudo nano /etc/sysctl.conf.
2. Aşağıdaki satırları ekleyin: net.netfilter.nf_conntrack_max = 262144
net.netfilter.nf_conntrack_tcp_timeout_established = 3600.
3. Uygulayın: sudo sysctl -p.

Bu ayarlar, TCP bağlantılarının timeout süresini kısaltarak tabloyu temizler ve yeni bağlantılara yer açar.

Geçici Ayarlar Uygulama

Hızlı testler için sudo sysctl -w net.netfilter.nf_conntrack_max=524288 komutunu çalıştırın. Bu değişiklik hemen geçerlidir ancak reboot ile sıfırlanır. Benzer şekilde, net.netfilter.nf_conntrack_buckets değerini artırarak hash tablosunu genişletin. Değişiklikleri doğrulamak için sysctl net.netfilter.nf_conntrack_max kullanın. Bu yöntem, trafik spike’larında acil müdahale için idealdir ve üretim öncesi benchmark testlerinde faydalıdır.

Kalıcı Yapılandırma ve Doğrulama

/etc/sysctl.d/ dizinine özel bir dosya oluşturun: sudo nano /etc/sysctl.d/99-conntrack.conf. İçine nf_conntrack_max, nf_conntrack_tcp_timeout_syn_sent=120 gibi parametreleri yazın. Ardından sudo sysctl --system ile tüm sysctl’leri yükleyin. Doğrulama için conntrack -S ile istatistikleri inceleyin. Bu yaklaşım, birden fazla ayar dosyasını yönetmeyi kolaylaştırır ve Ubuntu’nun systemd entegrasyonuyla uyumludur. Kurumsal politikalar gereği, değişiklikleri Git ile versionlayın.

İleri Optimizasyon ve Sorun Giderme

Yüksek performanslı Ubuntu Server’larda conntrack optimizasyonu, yalnızca parametre ayarı ile sınırlı kalmaz; modül parametreleri ve izleme entegrasyonu da gereklidir. nf_conntrack_expect_max gibi değerler, helper mekanizmalarını sınırlar. Sorun gidermede, dmesg ve /var/log/kern.log’u tarayın. conntrack tablosu taşması durumunda, echo 1 > /proc/sys/net/netfilter/nf_conntrack_tcp_loose=0 ile gevşek bağlantıları reddedin.

Performans İyileştirmeleri

Çok çekirdekli sistemlerde, nf_conntrack_buckets’i CPU sayısının 4 katı yapın. Örneğin, 8 çekirdek için 32768. Slab allocator’ı optimize etmek adına net.netfilter.nf_conntrack_max=CPU*16384 formülünü kullanın. Bu, bellek fragmentasyonunu azaltır. Ayrıca, nftables ile conntrack’i entegre edin: table inet filter { chain input { type filter hook input priority 0; ct state invalid drop; } }. Benchmark için ab veya wrk araçlarıyla test edin.

Yaygın Sorunlar ve Çözümleri

Tablo dolması (OOM killer tetiklenmesi) durumunda, RAM’i artırın veya timeout’ları kısaltın: nf_conntrack_udp_timeout=30. SYN flood saldırılarına karşı net.netfilter.nf_conntrack_tcp_timeout_syn_recv=20. Loglama için conntrack -E etkinleştirin. Ubuntu’nun unattended-upgrades ile çekirdek güncellemeleri sonrası ayarları doğrulayın. Bu adımlar, %99.9 uptime hedefleyen kurumsal sistemlerde standart prosedürdür.

Netfilter conntrack ayarlarını doğru yapılandırmak, Ubuntu Server’ınızın ağ güvenilirliğini ve performansını önemli ölçüde artırır. Bu rehberdeki adımları uygulayarak, sisteminizi yüksek yük altında bile stabil tutabilirsiniz. Düzenli izleme ve periyodik incelemelerle, olası sorunları önceden tespit edin. Kurumsal ortamlarınızda bu optimizasyonları pilot sunucularda test ederek production’a taşıyın; böylece kesintisiz hizmet sunmaya devam edin.