Linux conntrack和iptables技术解析

conntrack和iptables是Linux操作系统中的两个网络工具，用于网络连接跟踪和流量过滤。

conntrack是一个内核模块，用于在网络连接建立时跟踪和记录连接的信息。它可以记录连接的源地址、目的地址、端口等信息，并且能够在连接关闭后继续跟踪一段时间。通过conntrack，系统管理员可以查看和管理网络连接状态，如查看活动连接、删除连接等。

iptables是一个防火墙工具，用于管理和配置Linux操作系统的数据包过滤规则。它可以根据数据包的源地址、目的地址、端口等信息来过滤网络流量，以实现访问控制、防火墙功能等。iptables可以使用多种过滤策略，如允许、拒绝、重定向等，以及进行网络地址转换（NAT）等功能。

在使用iptables进行流量过滤时，可以利用conntrack模块跟踪连接状态。这样可以根据连接状态来过滤数据包，如只允许已建立的连接通过，或者只允许新建连接的数据包通过等。

---

1. netfilter解析

1.1 netfilter的基础原理

netfilter是linux内核中的一个数据包处理框架，用于替代原有的ipfwadm和ipchains等数据包处理程序。netfilter的功能包括数据包过滤，修改，SNAT/DNAT等。netfilter在内核协议栈的不同位置实现了5个hook点，其它内核模块(比如ip_tables)可以向这些hook点注册处理函数，这样当数据包经过这些hook点时，其上注册的处理函数就被依次调用，用户层工具像iptables一般都需要相应内核模块ip_tables配合以完成与netfilter的交互。netfilter hooks、ip{6}_tables、connection tracking、和NAT子系统一起构成了netfilter框架的主要部分。

   --->PRE------>[ROUTE]--->FWD---------->POST------>
       Conntrack    |       Mangle   ^    Mangle
       Mangle       |       Filter   |    NAT (Src)
       NAT (Dst)