ip_tables: (table filter) rule limit reached Linux / DevOps

ip_tables: table filter rule limit reached — Решение лимита правил iptables

Обновлено: 18.08.2026 · Официальная база знаний

Архитектура ошибки и симптомы сбоя

Сообщение «ip_tables: (table filter) rule limit reached» (или «iptables: Memory allocation failed / iptables: Resource temporarily unavailable») генерируется подсистемой ядра Netfilter / xtables. Ошибка означает, что монолитный буфер таблицы правил фаервола (filter, nat или mangle) достиг предела непрерывного выделения памяти vmalloc / kmalloc либо превысил архитектурный лимит количества правил iptables. Это приводит к невозможности обновления конфигурации, сбоям в kube-proxy и зависанию сетевых демонов.

Диагностическая таблица параметров сбоя

Параметр	Значение	Инженерный смысл сбоя
iptables Monolith	Linear Rule Array	Классический iptables хранит все правила как единый плоский непрерывный массив в памяти.
Sequential Search	O(N) Complexity	Каждый пакет последовательно проходит все тысячи правил, загружая CPU до 100%.
Atomic Commit Failure	Lock / ENOMEM	Невозможность атомарно заменить таблицу правил из-за нехватки памяти vmalloc.

Пошаговое дерево решений и сценарии траблшутинга

Сценарий 1: Проверка суммарного количества правил iptables

# Подсчет количества правил во всех цепочках таблицы filter:
sudo iptables -S | wc -l

# Подсчет правил в таблице nat (актуально для Kubernetes kube-proxy):
sudo iptables -t nat -S | wc -l

Если число правил превышает 15 000–30 000, плоский iptables перестает справляться с обновлениями.

Сценарий 2: Оптимизация списков IP-адресов через IPSet (O(1) сложность)

Замените тысячи индивидуальных правил iptables на один хеш-сет IP-адресов:

# Установка пакета ipset:
sudo apt-get install ipset || sudo dnf install ipset

# Создание хеш-сета на 100 000 IP-адресов:
sudo ipset create blacklist hash:ip maxelem 1000000

# Добавление адресов в сет:
sudo ipset add blacklist 198.51.100.1

# ОДНО универсальное правило iptables вместо миллионов:
sudo iptables -I INPUT -m set --match-set blacklist src -j DROP

Сценарий 3: Миграция на современный фреймворк nftables

Фреймворк nftables использует байткод виртуальной машины и оптимизированные структуры деревьев:

# Трансляция существующих правил iptables в nftables:
sudo iptables-save > /tmp/iptables.dump
sudo iptables-restore-translate -f /tmp/iptables.dump > /etc/nftables.conf

# Применение нативного nftables:
sudo systemctl enable --now nftables

Сценарий 4: Переключение kube-proxy в режим IPVS в Kubernetes

В конфигурации kube-proxy ConfigMap переключите режим с iptables на ipvs:

mode: "ipvs"
ipvs:
  strictARP: true

Kubernetes кластер зависает при синхронизации правил kube-proxy?
ITSTM выполнит бесшовную миграцию кластеров K8s на eBPF (Cilium CNI) или IPVS, устранив любые ограничения iptables и снизив сетевую задержку.

Практический опыт инженера: Для высоконагруженных ingress-контроллеров и пограничных шлюзов полностью отказывайтесь от iptables в пользу nftables с интервальными множествами (sets) либо внедряйте XDP (eBPF) для фильтрации пакетов до сетевого стека ядра.

Частые вопросы (FAQ)

Почему iptables начинает сильно тормозить при 10 000+ правилах?

iptables проверяет правила линейно одно за другим (сложность O(N)). Кроме того, при добавлении хотя бы одного правила iptables полностью копирует всю многомегабайтную таблицу правил из ядра в user space, модифицирует ее и целиком загружает обратно в ядро с глобальной блокировкой.

В чем главное преимущество IPSet перед обычным iptables?

IPSet использует алгоритмы хеш-таблиц и деревьев Radix. Поиск IP-адреса среди 1 000 000 записей выполняется мгновенно за фиксированное время O(1), не создавая нагрузки на процессор.

Как увеличить размер пула памяти vmalloc для ядра?

На 64-битных системах vmalloc обычно достаточно велик, но при необходимости его можно расширить параметром загрузки ядра в GRUB: vmalloc=512M.

Как быстро очистить все правила iptables в аварийной ситуации?

Выполните: sudo iptables -F && sudo iptables -X && sudo iptables -t nat -F && sudo iptables -t nat -X.