连接跟踪 (conntrack)

什么是conntrack

一般conntrack用来指代“Connection Tracking”，即连接跟踪，是建立在 Netfilter框架之上的重要功能之一。 连接跟踪允许内核跟踪所有逻辑网络连接或会话，从而关联可能构成该连接的所有数据包。 NAT 依赖此信息以相同的方式转换所有相关数据包，而 iptables 可以使用此信息充当有状态防火墙。

Conntrack modules and hooks这篇文章的概览很清楚地介绍了连接跟踪系统的作用，这里翻译记录在这里，对我来说其中最重要的一点是理解conntrack是一位“透明观察者”：

连接跟踪的目的是什么，它有什么作用？一旦激活连接跟踪（Linux 内核中的 ct 系统），它会检查 IPv4 和/或 IPv6 网络数据包及其有效负载，以确定哪些数据包相互关联，例如在面向连接的协议（如 TCP）的范围内。 ct 系统作为透明观察者执行此任务，并不积极参与端点之间的通信。连接的端点是本地的还是远程与 ct 系统无关。它们可以都位于远程主机上，在这种情况下，ct 系统在给特定连接的数据包充当路由或桥接角色的主机上观察它们。一个连接中的一个甚至两个端点都可以是运行 ct 系统的同一主机上的本地套接字。这对ct系统来说没区别。 ct 系统维护所有跟踪连接的最新（实时）列表。基于此，它通过为每个数据包提供一个指向其跟踪连接实例之一的引用（指针）来给网络数据包遍历内核网络堆栈时“分类”。因此，其他内核组件可以访问此连接关联并基于此做出决策。使用它的两个最突出的候选者是 NAT 子系统以及Iptables和Nftables 的状态包过滤模块。 ct 系统本身从不改变/操纵数据包。它通常也不会丢弃数据包，只可能在极少数情况下发生这种情况。在检查数据包内容时，它主要关注 OSI模型的第 3 层和第 4 层。它能够跟踪 TCP、UDP、ICMP、ICMPv6、SCTP、DCCP 和 GRE 连接。可见ct 系统对“连接”的定义不限于面向连接的协议，因为刚才提到的某些协议不是面向连接的。例如它将 ICMP echo 请求和echo回复 (ping) 视为“连接”并处理。 ct 系统提供了几个辅助/扩展组件，将其跟踪能力扩展到应用层，例如跟踪协议，如 FTP、TFTP、IRC、PPTP、SIP等。

conntrack-tools是一组用于 Linux 的免费软件用户空间工具，允许系统管理员与连接跟踪系统进行交互，conntrack-tools包括用户空间守护进程 conntrackd 和命令行界面 conntrack。

内核中关于conntrack模块的配置参数及默认值可以参考Kernel文档或者通过命令sysctl -a | grep conntrack来查看

常用conntrack命令

• 查看conntrack表记录: conntrack -L
• 清空conntrack表记录: conntrack -D
• 监控流事件: conntrack -E
• 设置输出格式:
  默认conntrack -L显示自第一次看到流以来经过的秒数。添加–o ktimestamp可以查看绝对开始日期:conntrack -L -o ktimestamp。但是注意查看绝对日期的功能需要先执行echo 1 > /proc/sys/net/netfilter/nf_conntrack_timestamp以启用该功能，否则输出结果与conntrack -L无异。
  其他支持的格式还有"extended,xml,timestamp,id,labels".