linux-conntrack对报文的处理

Linux 内核中的 ct 系统，本身从不改变/操纵数据包。通常也不会丢弃数据包，只可能在极少数情况下发生这种情况。
ct更多的是为其他内核组件提供决策。如 NAT 子系统以及Iptables和Nftables 的状态包过滤模块。连接跟踪最重要的使用场景就是 NAT，NAT 依赖连接跟踪的结果。
所以，即使存在established 状态的 ct，数据包还是会经过各个hook点，各个内核组件，还是会查找路由表、neighbor表等。
如下，nat流程中，nf_nat_packet 调用 nf_nat_manip_pkt 调用 nf_nat_ipv4_manip_pkt ，使用nf_conntrack_tuple *target 对数据包进行修改，而且在PREROUTING只修改daddr 和 dport，在POSTROUTING只修改saddr和sport。

unsigned int
nf_nat_inet_fn(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    ct = nf_ct_get(skb, &ctinfo);
    if (!ct)    // conntrack 不存在就做不了 NAT，直接返回，这也是我们为什么说 NAT 依赖 conntrack 的结果
        return NF_ACCEPT;

    nat = nfct_nat(ct);

    switch (ctinfo) {
    case IP_CT_RELATED:
    case IP_CT_RELATED_REPLY: /* Only ICMPs can be IP_CT_IS_REPLY.  Fallthrough */
    case IP_CT_NEW: /* Seen it before? This can happen for loopback, retrans,