"Oskar Andreasson. Iptables Tutorial 1.1.19 " - читать интересную книгу автора

по-умолчанию, которое может быть установлено вызовом функции ipsysctl в
последних версиях ядра. Для объема ОЗУ 128 Мб это значение соответствует
8192 записям, для 256 Мб - 16376. Вы можете посмотреть и изменить это
значение установкой переменной /proc/sys/net/ipv4/ip_conntrack_max.

4.3. Состояния в пространстве пользователя

Как вы уже наверняка заметили, в пространстве ядра, в зависимости от
типа протокола, пакеты могут иметь несколько различных состояний. Однако,
вне ядра пакеты могут иметь только 4 состояния. В основном состояние пакета
используется критерием -state. Допустимыми являются состояния NEW,
ESTABLISHED, RELATED и INVALID. В таблице, приводимой ниже, рассмтриваются
каждое из возможных состояний.
Таблица 4-1. Перечень состояний в пространстве пользователя
(Состояние - Описание)

Состояние: NEW
Описание: Признак NEW сообщает о том, что пакет является первым для
данного соединения. Это означает, что это первый пакет в данном соединении,
который увидел модуль трассировщика. Например если получен SYN пакет
являющийся первым пакетом для данного соединения, то он получит статус NEW.
Однако, пакет может и не быть SYN пакетом и тем не менее получить статус
NEW. Это может породить определенные проблемы в отдельных случаях, но может
оказаться и весьма полезным, например когда желательно "подхватить"
соединения, "потерянные" другими брандмауэрами или в случаях, когда таймаут
соединения уже истек, но само соединение не было закрыто.

Состояние: RELATED
Описание: Состояние RELATED одно из самых "хитрых". Соединение получает
статус RELATED если оно связано с другим соединением, имеющим признак
ESTABLISHED. Это означает, что соединение получает признак RELATED тогда,
когда оно инициировано из уже установленного соединения, имеющего признак
ESTABLISHED. Хорошим примером соединения, которое может рассматриваться как
RELATED, является соединение FTP-data, которое является связанным с портом
FTP control, а так же DCC соединение, запущенное из IRC. Обратите внимание
на то, что большинство протоколов TCP и некоторые из протоколов UDP весьма
сложны и передают информацию о соединении через область данных TCP или UDP
пакетов и поэтому требуют наличия специальных вспомогательных модулей для
корректной работы.

Состояние: ESTABLISHED
Описание: Состояние ESTABLISHED говорит о том, что это не первый пакет
в соединении. Схема установки состояния ESTABLISHED достаточна проста для
понимания. Единственное требование, предъявляемое к соединению, заключается
в том, что для перехода в состояние ESTABLISHED необходимо чтобы узел сети
передал пакет и получил на него ответ от другого узла (хоста). После
получения ответа состояние соединения NEW или RELATEDбудет изаменено на
ESTABLISHED.

Состояние: INVALID