conntrack连接状态的计算位置？？

wangxiaoguang

引用“除了本地产生的包由OUTPUT链处理外，所有连接跟踪都是在PREROUTING链里进行处理的，意思就是， iptables会在PREROUTING链里从新计算所有的状态。如果我们发送一个流的初始化包，状态就会在OUTPUT链里被设置为NEW，当我们收到回应的包时，状态就会在PREROUTING链里被设置为ESTABLISHED。如果第一个包不是本地产生的，那就会在PREROUTING链里被设置为NEW状态。综上，所有状态的改变和计算都是在nat表中的PREROUTING链和OUTPUT链里完成的”

那是不是所有在nat表中的PREROUTING链和OUTPUT链之前的点上有关状态的规则都是没有意义的？
如：iptables -t mangle -A INPUT -i eth0 -m conntrack --ctstate NEW -j CONNMARK --set-mark 0x100

[ 本帖最后由 wangxiaoguang 于 2009-2-19 14:45 编辑 ]

ssffzz1

不对啊。

好像不光在PRER有状态的。那个状态模块在别的链表中也可以用的。

wangxiaoguang

状态模块在别的链表中是可以用的，但我问的是状态的更新是在哪里进行的（比如：由new变为established），资料上如下解释：
引用“综上，所有状态的改变和计算都是在nat表中的PREROUTING链和OUTPUT链里完成的”

那么根据结构图的各表的顺序，是不是所有在nat表中的PREROUTING链和OUTPUT链之前的点上有关状态的规则都是没有意义的？
如：iptables -t mangle -A INPUT -i eth0 -m conntrack --ctstate NEW -j CONNMARK --set-mark 0x100

ssffzz1

要不你发到LINUX的网络板块试试。我给你转不过去。

wangxiaoguang

好的