Linux dropped 的含义与定位
概念与常见场景
在 Linux 环境中，dropped 通常表示某个操作或数据包被系统或程序主动丢弃、未能继续处理。在网络语境下，它最常见于网卡/内核统计中，表示数据包没有成功进入后续协议栈或被策略拦截；同时，在安全策略（如 iptables 的 DROP 规则）或应用层逻辑中，也会用 “dropped” 表示被丢弃的数据或连接。总体上，网络讨论中 dropped ≈ 丢包，但需结合上下文判断是内核/驱动丢弃，还是策略/应用主动丢弃。
网络统计中的 dropped 具体含义
- 查看方式：使用命令如 ifconfig 或读取 /proc/net/dev，可见接口统计中的 RX dropped / TX dropped。这些计数来源于内核网络栈，反映本机层面的丢包情况，而非链路对端的丢失。
- 常见原因
- RX dropped：数据包已进入驱动队列/内核，但在拷贝到 socket buffer（sk_buff）或后续处理时因资源不足等原因被丢弃（例如内存紧张、处理不及时）。这类计数通常与内核内存压力、软中断负载相关。
- RX overruns：指网卡 Ring Buffer（驱动队列）溢出，通常因为网卡接收速率高于内核/CPU 能处理的速度，常见于 CPU 繁忙或中断/NAPI 处理不过来。
- 注意区分：errors 是另一类错误计数（如帧对齐、CRC 等），与 dropped 并不等同，二者可能各自增长。
- 典型线索
- dmesg 出现如 “TCP: drop open request from …” 提示半连接队列（tcp_max_syn_backlog）溢出，常见于 SYN Flood 或突发连接场景。
- iptables -L INPUT -nv 或 iptables-save 能看到显式的 DROP 规则，命中计数增长即表示被策略丢弃。
快速排查步骤
- 观察与定位
- 用 ip -s link 或 cat /proc/net/dev 查看接口 dropped 是否持续增长；对比 RX/TX 与 errors/overruns，先判断是内核处理瓶颈还是驱动队列溢出。
- 检查策略与连接状态：
- iptables-save | grep -i drop 与 iptables -L INPUT -nv 确认是否有 DROP 规则在计数；
- ss -s 或 netstat -s 查看 TCP 层丢包/重传概况；
- dmesg | grep -i “drop|syn” 捕捉内核日志线索（如半连接队列溢出）。
- 抓包与内核追踪
- 用 tcpdump 在问题接口抓包，确认报文是否到达本机、是否得到响应，以区分是“到达被丢弃”还是“未到达”。
- 用 perf record -g -a -e skb:kfree_skb 与 perf script 或 dropwatch 定位内核丢包调用栈，识别是哪一环节释放了 skb（如 tcp_v4_rcv、队列/驱动等）。
- 缓解思路（按根因）
- 驱动队列/CPU 瓶颈：优化中断亲和与队列、提升软中断处理能力、适度开启 RPS/RFS、升级网卡/驱动、降低突发流量峰值。
- 内核/内存压力：检查系统内存与 slab 使用，减少内存紧张导致的分配失败；必要时优化应用与内核参数。
- 半连接队列：net.ipv4.tcp_max_syn_backlog、net.core.somaxconn 适度调大，并配合 syn_cookies 抵御 SYN Flood。
- 策略误伤：审计并收紧 iptables/nftables 规则，避免对合法流量误 DROP，必要时改用 REJECT 或限速队列。