又有一个关于ip_conntrack的问题请教前辈

kaiserhui

晚辈这几天经过查找资料，又有个关于Netfilter的问题想麻烦请教各位前辈。
  关于Netfilter中的ip_conntrack，前些天看到一个帖子中有这种说法：ip_conntrack起到连接跟踪的作用，所以只要属于一个连接的数据包能通过Netfilter就会被ip_conntrack记录下俩，下次是同一连接的数据包时由于属于之前合法连接就直接会通过，不会再次进入filter表进行比对。
  不知这种说法是否正确，特此请教前辈，如果网上能有相关的文献资料就更好了，望告知。多谢给位前辈。

Godbach

Netfilter就会被ip_conntrack记录下俩，下次是同一连接的数据包时由于属于之前合法连接就直接会通过，不会再次进入filter表进行比对。
  不知这种说法是否正确，特此请教前辈，如果网上能有相关的文献资料就更好了，望告知。多谢给位前辈。

记住，conntrack 表的主要左右是记录连接，至于你怎么用，是在于你配置了什么规则。
conntrack 表记录了连接，并提供一些接口，查询某个数据包属于哪个连接等等。

iptables 中可以利用 conntrack 的这些特性，对数据包进行状态判断，然后根据需求做过滤。