如何使iptables无状态？

Question

我正在运行一个 Linux 服务器 - 不时 - 面临沉重的负载和 conntrack 表溢出。由于它的 iptables 防火墙规则集非常简单，我想将其转换为无状态模式。我知道 iptables 可以在有状态连接跟踪模式和无状态模式下运行。

我的防火墙规则都已就绪 我很确定它们是无状态的，但我的问题是如何验证防火墙是否真的在无状态模式下运行？

Answer 1

您需要指定一些 iptables 规则来防止数据包被跟踪：

iptables -t raw -I PREROUTING -j NOTRACK
iptables -t raw -I OUTPUT -j NOTRACK

Answer 2

安装conntrack，然后查看输出。我很确定如果您是无状态的，则不会显示任何连接。

Answer 3

cat /proc/net/ip_conntrack 显示所有连接跟踪。

所以，如果它是无状态的，上面命令的输出应该是空的。

（或者，使用cat /proc/net/nf_conntrack）