La tabla de estados y su tamaño

Cuando el cortafuegos permite el primer paquete de una conversación crea una entrada en su tabla de estados. Esa entrada suele guardar la tupla (direcciones, puertos y protocolo en los dos sentidos), el estado en que va la conversación, un temporizador de inactividad y contadores de paquetes y bytes. Los paquetes siguientes se comparan con la entrada y no con toda la política, y por eso el equipo es rápido y por eso permite las respuestas sin que haya una regla para ellas.

La tabla tiene un máximo que depende del modelo y de la memoria asignada. Los nombres de los estados y los valores cambian de un fabricante a otro; en este laboratorio son los de una configuración ficticia.

Una tabla llena casi nunca la llena el tráfico de todos: la llenan pocos orígenes. La primera pregunta de un diagnóstico es quién tiene más entradas y en qué estado están. Un origen con decenas de miles de entradas ya establecidas y viejas suele ser un servicio que mantiene conexiones abiertas; uno con decenas de miles en un estado de espera de respuesta describe otra conducta.

Abre la consola y consulta sesiones_por_origen. Compara el número de sesiones de cada origen.

Los contadores muestran la ocupación en el tiempo. Mientras hay espacio, descartes_tabla_llena vale 0; cuando se agota, el equipo no puede crear entradas nuevas y descarta el primer paquete de las conversaciones que llegan. Las conversaciones ya establecidas siguen funcionando, que es lo que hace confuso el síntoma: «algunos entran y otros no».

Consulta contadores y busca el primer momento en que hubo descartes por tabla llena.

La ocupación es sesiones activas dividido por el máximo de la tabla, en porcentaje. Un equipo que trabaja habitualmente por encima de un umbral alto, que cada organización fija (muchas lo ponen para alertar mucho antes del 100 %), deja sin margen para un pico.

Subir el máximo de la tabla puede no ser posible (depende del modelo) y, aunque lo sea, solo aplaza el problema si algo sigue abriendo entradas sin cerrarlas. El orden razonable es identificar a los mayores ocupantes, entender por qué sus entradas no se liberan (estado, temporizador, aplicación) y decidir con su dueño: corregir el origen, ajustar un temporizador de esa regla o limitar el número de sesiones por origen. Todo cambio pasa por la gestión de cambios y se prueba en ventana.