很多人估计遇到这个问题，开启iptables时，一旦网络连接并发较多，比如5000个以上，就发现网络响应变得很慢, 这时syslog中出现大量以下日志：
ip_conntrack: table full, dropping packet.
这是因为分配给ip_conntrack的默认的内存空间过小造成， 需要加大此值，并且这个值是无法通过/etc/sysctl.conf修改的．我被这个问题困扰了很久，按网上的方法修改/etc/sysctl.conf，根本无效的．
后台阅读国外的一篇文章，终于找到了这个问题的解决方法：
向/etc/modprobe.conf中增加
options ip_conntrack hashsize=262144
再执行service iptables restart即可生效，可使用sysctl -a|grep ip_conntrack_buckets即可检查是否确实修改成功
如果这时在系统日志中出现
ip_conntrack: falling back to vmalloc
说明分配的内存空间过大，需要调节小一些，你可以将上述的参考值不断减半(必须是2的乘幂)，直到不出现上述错误．
iptables有100多条规则， 峰值tcp并发大约7000多，再也没有出现过丢包的问题．