Что такое conntrack в Linux, iptables и nftables, и к каким проблемам приводит его переполнение?

Conntrack отслеживает состояние сетевых потоков для stateful-фильтрации и NAT; переполнение таблицы мешает созданию новых отслеживаемых соединений.

Проверяйте nf_conntrack_count, nf_conntrack_max, сообщения ядра и характер соединений. Причиной могут быть всплеск трафика или долгие таймауты. Увеличение лимита расходует память и не исправляет источник нагрузки; массовая очистка таблицы способна оборвать действующие соединения.

Источник: docs.kernel.org.