GNU Linux-libre 4.14.266-gnu1
[releases.git] / Documentation / networking / nf_conntrack-sysctl.txt
1 /proc/sys/net/netfilter/nf_conntrack_* Variables:
2
3 nf_conntrack_acct - BOOLEAN
4         0 - disabled (default)
5         not 0 - enabled
6
7         Enable connection tracking flow accounting. 64-bit byte and packet
8         counters per flow are added.
9
10 nf_conntrack_buckets - INTEGER
11         Size of hash table. If not specified as parameter during module
12         loading, the default size is calculated by dividing total memory
13         by 16384 to determine the number of buckets but the hash table will
14         never have fewer than 32 and limited to 16384 buckets. For systems
15         with more than 4GB of memory it will be 65536 buckets.
16         This sysctl is only writeable in the initial net namespace.
17
18 nf_conntrack_checksum - BOOLEAN
19         0 - disabled
20         not 0 - enabled (default)
21
22         Verify checksum of incoming packets. Packets with bad checksums are
23         in INVALID state. If this is enabled, such packets will not be
24         considered for connection tracking.
25
26 nf_conntrack_count - INTEGER (read-only)
27         Number of currently allocated flow entries.
28
29 nf_conntrack_events - BOOLEAN
30         0 - disabled
31         not 0 - enabled (default)
32
33         If this option is enabled, the connection tracking code will
34         provide userspace with connection tracking events via ctnetlink.
35
36 nf_conntrack_expect_max - INTEGER
37         Maximum size of expectation table.  Default value is
38         nf_conntrack_buckets / 256. Minimum is 1.
39
40 nf_conntrack_frag6_high_thresh - INTEGER
41         default 262144
42
43         Maximum memory used to reassemble IPv6 fragments.  When
44         nf_conntrack_frag6_high_thresh bytes of memory is allocated for this
45         purpose, the fragment handler will toss packets until
46         nf_conntrack_frag6_low_thresh is reached.
47
48 nf_conntrack_frag6_low_thresh - INTEGER
49         default 196608
50
51         See nf_conntrack_frag6_low_thresh
52
53 nf_conntrack_frag6_timeout - INTEGER (seconds)
54         default 60
55
56         Time to keep an IPv6 fragment in memory.
57
58 nf_conntrack_generic_timeout - INTEGER (seconds)
59         default 600
60
61         Default for generic timeout.  This refers to layer 4 unknown/unsupported
62         protocols.
63
64 nf_conntrack_helper - BOOLEAN
65         0 - disabled (default)
66         not 0 - enabled
67
68         Enable automatic conntrack helper assignment.
69         If disabled it is required to set up iptables rules to assign
70         helpers to connections.  See the CT target description in the
71         iptables-extensions(8) man page for further information.
72
73 nf_conntrack_icmp_timeout - INTEGER (seconds)
74         default 30
75
76         Default for ICMP timeout.
77
78 nf_conntrack_icmpv6_timeout - INTEGER (seconds)
79         default 30
80
81         Default for ICMP6 timeout.
82
83 nf_conntrack_log_invalid - INTEGER
84         0   - disable (default)
85         1   - log ICMP packets
86         6   - log TCP packets
87         17  - log UDP packets
88         33  - log DCCP packets
89         41  - log ICMPv6 packets
90         136 - log UDPLITE packets
91         255 - log packets of any protocol
92
93         Log invalid packets of a type specified by value.
94
95 nf_conntrack_max - INTEGER
96         Size of connection tracking table.  Default value is
97         nf_conntrack_buckets value * 4.
98
99 nf_conntrack_tcp_be_liberal - BOOLEAN
100         0 - disabled (default)
101         not 0 - enabled
102
103         Be conservative in what you do, be liberal in what you accept from others.
104         If it's non-zero, we mark only out of window RST segments as INVALID.
105
106 nf_conntrack_tcp_loose - BOOLEAN
107         0 - disabled
108         not 0 - enabled (default)
109
110         If it is set to zero, we disable picking up already established
111         connections.
112
113 nf_conntrack_tcp_max_retrans - INTEGER
114         default 3
115
116         Maximum number of packets that can be retransmitted without
117         received an (acceptable) ACK from the destination. If this number
118         is reached, a shorter timer will be started.
119
120 nf_conntrack_tcp_timeout_close - INTEGER (seconds)
121         default 10
122
123 nf_conntrack_tcp_timeout_close_wait - INTEGER (seconds)
124         default 60
125
126 nf_conntrack_tcp_timeout_established - INTEGER (seconds)
127         default 432000 (5 days)
128
129 nf_conntrack_tcp_timeout_fin_wait - INTEGER (seconds)
130         default 120
131
132 nf_conntrack_tcp_timeout_last_ack - INTEGER (seconds)
133         default 30
134
135 nf_conntrack_tcp_timeout_max_retrans - INTEGER (seconds)
136         default 300
137
138 nf_conntrack_tcp_timeout_syn_recv - INTEGER (seconds)
139         default 60
140
141 nf_conntrack_tcp_timeout_syn_sent - INTEGER (seconds)
142         default 120
143
144 nf_conntrack_tcp_timeout_time_wait - INTEGER (seconds)
145         default 120
146
147 nf_conntrack_tcp_timeout_unacknowledged - INTEGER (seconds)
148         default 300
149
150 nf_conntrack_timestamp - BOOLEAN
151         0 - disabled (default)
152         not 0 - enabled
153
154         Enable connection tracking flow timestamping.
155
156 nf_conntrack_udp_timeout - INTEGER (seconds)
157         default 30
158
159 nf_conntrack_udp_timeout_stream2 - INTEGER (seconds)
160         default 180
161
162         This extended timeout will be used in case there is an UDP stream
163         detected.