CentOS 出现 dropped 的常见原因与排查路径
含义与常见场景
在 CentOS 中，日志或监控里出现 dropped 通常表示“被丢弃”，多见于两类场景：其一是网络层面的数据包被内核/网卡/防火墙丢弃；其二是安全或资源策略导致的连接/登录被拒绝或中断。正常情况下不应频繁出现大量 dropped，一旦持续升高，多半意味着配置、资源或硬件存在问题。
网络层面的根因
- 网络配置错误：如 IP 地址、子网掩码、网关配置不当，或 DNS 服务器不可达。
- 路由问题：路由表/网关错误，导致下一跳不可达。
- 防火墙/安全策略：firewalld/iptables 规则阻断必要流量，或 SELinux 策略限制。
- 网卡与驱动：Ring Buffer 满（突发大流量或 CPU 处理不及时）、驱动/固件缺陷、网卡硬件故障。
- 资源瓶颈：CPU/内存不足、系统过载导致无法及时处理网络栈。
- 物理链路/设备：网线、交换机、路由器故障或链路拥塞。
以上因素均可能单独或叠加造成 packets dropped，需结合现场拓扑与负载综合判断。
系统与策略层面的根因
- 账户与访问控制：多次登录失败触发账户锁定；来源 IP 被加入黑名单或达到连接数限制。
- 资源配额/限制：用户或进程超出 磁盘/CPU/连接数 配额被策略终止。
- 服务可用性：关键网络服务未启动/配置错误，导致连接建立或维持失败。
这类“dropped”更多体现为会话被拒或中断，而非底层数据包丢失。
快速排查步骤
- 确认现象与范围
- 明确是网络丢包（如 ping、tcpdump 丢包）还是连接被拒/中断（应用日志、登录失败）。
- 查看系统日志定位线索
- 使用 journalctl 与文件日志：
- 实时查看系统日志：
journalctl -f
- 按时间筛选：
journalctl --since "2025-11-27 10:00:00" --until "2025-11-27 10:10:00"
- 查看安全日志：
tail -f /var/log/secure（登录/权限类事件）
- 查看内核与综合日志：
tail -f /var/log/messages
- 检查网络接口与驱动
- 接口与统计：
ip -s link show dev eth0、ethtool -S eth0
- 队列与驱动：
ethtool -g eth0（查看/调整 Ring Buffer）、ethtool -k eth0（卸载 offload 特性做对照测试）
- 校验连通性与解析
- 路由与下一跳：
ip route、traceroute/mtr
- DNS：
nslookup/dig 验证域名解析是否可达
- 复核安全策略与资源
- 防火墙：
firewall-cmd --list-all 或 iptables -S
- SELinux：
getenforce、ausearch -m avc -ts recent
- 资源：
top/htop、free -m、df -h
- 复现与对照
- 在相近负载下做 A/B 对照（如临时调大 Ring Buffer、关闭 offload、切换链路/交换机口），观察 dropped 是否显著变化。
以上步骤覆盖了 日志定位、接口/驱动检查、连通性验证、策略与资源复核 的完整闭环。
常见修复建议
- 修正 IP/掩码/网关/DNS 与 路由表，确保下一跳可达。
- 调整网卡队列与内核网络参数：适度增大 Ring Buffer（如
ethtool -G），优化 net.core.netdev_budget 等；必要时回退或升级 驱动/固件。
- 清理或优化 firewalld/iptables 与 SELinux 策略，放行必需流量。
- 处理资源瓶颈：扩容 CPU/内存，优化应用并发与 I/O，避免过载。
- 排除物理层问题：更换 网线/光模块，切换 交换机端口/上联，核查链路质量。
- 若为会话被拒/账户锁定，按策略解锁账户、放行来源 IP、调整连接/配额限制。
上述措施对应前文各类根因，通常能显著降低或消除 dropped。