Tabel sesi firewall penuh Firewall session table exhaustion
ID penyebab dc-firewall · Penanggung jawab utama Infrastruktur jaringan (Tim Infrastruktur) · Turut terlibat Pengembangan server (Tim Pengembang Game), Pengembangan klien (Tim Pengembang Game)
Firewall mencatat dan melacak setiap koneksi yang diloloskannya di tabel sesi. Jika tabelnya penuh, koneksi baru tidak bisa diterima.
Mengapa Jumlah sesi mencapai batas karena lonjakan koneksi atau serangan → Akibatnya Koneksi baru ditolak karena tidak ada entri kosong untuk mencatatnya → Di layar Pemain yang baru mau masuk tidak bisa masuk atau mengalami loading tanpa henti, dan sebagian koneksi yang sudah ada juga disconnect
Tepat setelah login atau maintenance, Saat banyak pemain berkumpul
Penanggung jawab
Penanggung jawab utama Infrastruktur jaringan (Tim Infrastruktur) · Turut terlibat Pengembangan server (Tim Pengembang Game), Pengembangan klien (Tim Pengembang Game)
Tugas Tim Pengembang Game
Server: atur lonjakan koneksi dengan sistem antrean login, pakai ulang koneksi agar tidak berulang kali membuka koneksi singkat, bersihkan lebih dulu koneksi yang heartbeat-nya berhenti (agar koneksi mati tidak lama memakai tabel sesi). Klien: kirim heartbeat dengan interval maksimal setengah dari idle timeout terpendek, reconnect otomatis jika terputus dengan interval percobaan ulang yang makin panjang dan disebar secara acak (agar tidak menyerbu bersamaan lagi).
Tugas Tim Infrastruktur
Perbesar tabel sesi, bersihkan cepat koneksi yang berakhir singkat (perpendek timeout sesi yang sudah ditutup), beri tahu Tim Pengembang Game nilai idle timeout sesi saat memperpendeknya agar interval heartbeat disesuaikan, blokir serangan, pasang alert utilisasi jumlah sesi.
Di grafik
Mendatar di batas · Jumlah sesi firewall, jumlah koneksi baru yang gagal
Yang diperiksa
Lihat grafik jumlah sesi bersamaan di perangkat firewall bersama batas sesinya, lalu cari log paket yang dibuang karena sesi tidak bisa dibuat. Untuk firewall Linux, bandingkan nf_conntrack_count dengan nf_conntrack_max dan cari “nf_conntrack: table full, dropping packet” di dmesg; untuk instance AWS, periksa conntrack_allowance_exceeded di ethtool -S
Cocok jika
Sejak jumlah sesi mendatar di batas, koneksi baru yang gagal bertambah, dan log kegagalan pembuatan sesi atau counter drop ikut naik
Tidak cocok jika
Jumlah sesi masih jauh di bawah batas, tetapi tetap tidak bisa masuk: lebih mungkin “Antrean koneksi (backlog) meluap” atau server login. Hanya koneksi idle yang terputus: lebih mungkin “Connection tracking di security group cloud kedaluwarsa”
Sarana pemeriksaan
Tools infrastruktur (tanpa perlu kode game)
Sumber
Netfilter Conntrack Sysfs variablesLinux kernel Jumlah entri maksimum tabel connection tracking (nf_conntrack_max), lama penyimpanan koneksi yang sedang ditutup (TIME_WAIT dan FIN_WAIT default 120 detik), TCP yang sudah terbentuk default 5 hari, jumlah entri saat ini (nf_conntrack_count)
Amazon EC2 security group connection trackingAWS Jika jumlah koneksi yang bisa dilacak per instance terlampaui, paket koneksi baru dibuang; koneksi idle bisa menghabiskan tabel pelacakan
Infrastructure layer attacksAWS Serangan seperti SYN flood menghabiskan sumber daya server, firewall, dan load balancer
net/netfilter/nf_conntrack_core.c (Linux v6.12)Linux kernel Jika tabel connection tracking penuh, kernel mencatat “nf_conntrack: table full, dropping packet” dan membuang paket koneksi baru