问一个有关iptables 的 forward 表的处理问题

goodboy1881

最近需求要设置一个软路由器，做一个网关访问公网，自然而然就想到了iptables这个东西。

设置了下面俩命令
iptables -A FORWARD -i 内网网卡 -o 外网网卡 -j ACCEPT
iptables -t nat -A POSTROUTING -s 内网网段/掩码 -o 外网网卡 -j MASQUERADE


我很奇怪的是，这个表代表着，内网的数据能够出去，但是应答数据怎么准确的找到了内网的机器？把数据包转回来了？


我查到了conntrack 这个东西，是不是应答数据回来的时候，iptables回去查这个conntrack表？然后根据里面的记录进行转发？转发给内网机器？


如果是这样的话，有一个问题 conntrack 这个表是有上限的，会出现 tables full 的问题，回避他的一个动作就是关闭它，或者加大他这个表。


我想问的是，Forward应答数据的时候，conntrack这个表是不是必须的？没有这个就没法forward回来了吧。
如果这个表是必须的，那只能加大它？这是唯一的道路？


谢谢各位大侠了。。。

goodboy1881

我的理解有木有问题。。。还是我问的地方不太对。。。

baby_神

centos 5  /proc/sys/net/ipv4/ip_conntrack_max
cnetos 6和7  /proc/sys/net/netfilter/ip_conntrack_max

这个文件可以调整连接数的大小，必须为65536的倍数