什么是连接跟踪

时间：2012-12-3

   通常,在iptables防火墙的配置都是意向的,例如,防火墙仅在INPUT链允许主机访问谷歌站点,这时,请求数据包能够正常发送到谷歌服务器,但是,当服务器的回应数据包抵达时,因为没有配置允许的策略,则这个数据包将会被丢弃,无法寄卖整个通信过程,所以配置iptables时需要配置出站,入站规则,这无疑增大了配置的复杂度,实际上,连接跟踪能够简化这个操作.

   连接跟踪领先数据包中的特殊标记,对连接状态"state"进行检测,Netfilter能够根据状态决定数据包的关联,或者分析每个进程对应数据包的关系,决定数据包的具体操作,连接跟踪支持TCP和UDP通信,更加适用于数据包的交换.

  连接跟踪通常会提高通信的效率,因为对于一个已经建立好的连接,剩余的通信数据包将不再需要接受链中规则的检查,这将有效缩短iptables的处理时间,当然,连接跟踪需要占用更多的内存.

连接跟踪存在4种数据包的状态,如下所示:
NEW:想要新建立连接的数据包;
INVALID:无效的数据包,例如损坏或者不完整的数据包;
ESTABLISHED:已经建立连接的数据包;
RELATED:与已经发送的数据包有关的数据包,例如,建立连接后后发送的数据包或者对方返回的响应数据包,同时使用这个状态进行设定,简化iptables的配置操作.