Como ativar o iptables sem estado?

Question

Estou executando um servidor Linux que - de tempos em tempos - enfrenta carga pesada e sobrecargas da tabela conntrack. Como o seu conjunto de regras do firewall do iptables é muito simples, eu gostaria de transformá-lo no modo sem estado. Eu sei que o iptables pode operar em modo de rastreamento de conexão com monitoração de estado e em modo sem monitoração de estado.

Minhas regras de firewall estão todas em vigor Tenho certeza de que elas são sem estado, mas minha pergunta é como posso verificar se o firewall está realmente operando no modo sem estado?

    

Answer 1

Você precisa especificar algumas regras do iptables para evitar que os pacotes sejam rastreados:

iptables -t raw -I PREROUTING -j NOTRACK
iptables -t raw -I OUTPUT -j NOTRACK

    

Answer 2

cat /proc/net/ip_conntrack mostra todo o rastreamento de conexão.

Então, se for stateless, a saída do comando acima deve estar vazia.

(Como alternativa, use cat /proc/net/nf_conntrack )

    

Answer 3

Instale conntrack e observe a saída. Tenho certeza de que, se você for stateless, nenhuma conexão será exibida.