小编cav*_*man的帖子

它首先需要存储状态。我使用的一些旧的BSD防火墙，我猜是命名为IPFW，我曾经放置了一个满足“跟踪离开数据包的状态”的规则，并将其放置在接口的出站方向上。然后，入站方向上的另一个规则根据出站方向上的规则创建的那些状态检查它们。所以过去有 2 个规则：(1) 填充状态表，这是在出站方向，以及 (2) 查找状态表，这是在入站方向。

但是使用connntrack，我看到它应用在INPUT链上，比如这个规则：

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

这让我想知道，该声明实际上在做什么？

• 是说它将通过将信息放入状态表来开始跟踪匹配该规则的数据包吗？
• 还是说它已经拥有状态信息，并且将根据它对入站消息采取行动？（例如，如果它们属于以前接受的连接，则接受？）。但是，在这种情况下，states 表在哪里填充？哪个规则？或者它是无规则和隐含的？