netfilter之conntrack连接跟踪

连接跟踪conntrack是状态防火墙和NAT的基础，每个经过conntrack处理的数据包的skb->nfctinfo都会设置如下值之一，后续流程中NAT模块根据此值做不同的处理，filter模块可以在扩展匹配中指定state进行不同的处理。

enum ip_conntrack_info {
    /* Part of an established connection (either direction). */
    //收到双向报文，连接已经建立，对original方向报文设置此标志
    IP_CT_ESTABLISHED,

    /* Like NEW, but related to an existing connection, or ICMP error
       (in either direction). */
    IP_CT_RELATED,

    /* Started a new connection to track (only
           IP_CT_DIR_ORIGINAL); may be a retransmission. */
    //收到original方向数据包，连接还未建立
    IP_CT_NEW,

    /* >= this indicates reply direction */
    //收到reply方向数据包，说明连接建立
    IP_CT_IS_REPLY,

    IP_CT_ESTABLISHED_REPLY = IP_CT_ESTABLISHED + IP_CT_IS_REPLY,
    IP_