一、根因结论

衍生连带问题

1. 频繁内存换入换出（Swap），磁盘 / Flash IO 飙升，防火墙转发卡顿、策略加载慢、会话断流；
2. 内核进程 kdrvdp1 同步升高，属于驱动层受内存不足拖累；
3. 长期内存过载极易触发进程 OOM 杀死（dbmd、ntopd、syslogd 等业务进程崩溃、防火墙重启）。

二、造成内存吃满的常见 6 类原因（H3C F1000/ACG 防火墙通用）

1. 流量 / 会话规模超出硬件规格（最高发）

2. 功能组件开启过多，内存常驻占用

3. 固件版本内存泄漏 bug

4. 日志疯狂本地写入

5. 异常攻击消耗会话与内存

6. 内存硬件隐性故障（极少）

三、分步排查流程（从上到下依次排查）

步骤 1：确认内存、Swap 使用情况

1. Free memory 长期低于 300M、Swap 持续处于使用状态 → 确认内存枯竭；
2. 观察内存走势：display memory history，如果内存缓慢持续下降，基本判定存在内存泄漏。

步骤 2：核查会话表占用（首要排查）

1. 会话数量接近该防火墙规格上限 → 流量过载；
2. 大量无用长连接、闲置隧道、僵尸会话堆积：调小会话老化时间（TCP 空闲老化默认 300s，可改成 120s）：

步骤 3：定位哪个业务进程占用内存最高

1. ntopd（流量深度分析）占用过高：不需要实时流量画像，直接关闭 ntop 流量分析功能，释放大量内存；
2. dbmd（特征库 / 审计数据库进程）内存持续上涨：IPS、AV、行为审计全开导致。

步骤 4：关闭不必要耗内存的业务组件（快速缓解故障）

① 关闭 NTOP 流量分析（你的环境正在运行 ntopd，占用 213M 内存）

② 日志优化，禁止本地落地日志（避免日志缓存吃内存）

③ 闲置功能关闭：KDNS 流量分析、诊断模块、自动诊断

④ 临时关闭 IPS/AV 杀毒（业务内网无病毒威胁可临时关闭应急）

步骤 5：排查是否存在内存泄漏

1. 关闭冗余组件后，内存依旧缓慢不停下降 → 固件存在内存泄漏 BUG，解决方案：升级官方稳定版本补丁；
2. 关闭多余组件后内存稳定不再下跌 → 单纯组件开太多导致内存不足。

步骤 6：排查攻击行为

步骤 7：版本核验

四、紧急临时处理方案（业务不能断，立刻降负载）

1. 关闭 ntop、KDNS、本地日志存储；
2. 缩短 TCP/UDP 会话老化时间，快速回收无效会话内存；
3. 关闭暂时不用的 IPS、病毒查杀；
4. 执行 swapoff -a 关闭交换分区（防火墙 Flash 速度极慢，swap 只会加剧 CPU 卡顿）；
   做完以上操作，kswapd0 负载通常在几分钟内回落至 0%~2% 正常区间。

五、验证修复是否成功

六、长期根治方案

1. 按需开启功能：只保留安全策略、NAT、必要 VPN，流量分析、审计、杀毒按需分时开启；
2. 日志全部外置远端服务器，禁止本地写日志；
3. 存在内存泄漏则升级防火墙固件到官方最新稳定补丁；
4. 若业务流量长期满载 2G 内存仍然不够，扩容防火墙物理内存或者更换更高规格防火墙。

精简总结

1. kswapd0 CPU 高 = 内存耗尽，内核不停回收内存；
2. 你的现状：整机 2G 内存只剩 192M 空闲，ntop、日志、KDNS 多组件共同吃光内存；
3. 应急：关掉 ntop、本地日志、多余安全组件；根治：排查内存泄漏并升级固件、优化会话老化。