OVS的CT action

详细内容传送门：官方：http://docs.openvswitch.org/en/latest/tutorials/ovs-conntrack/

                            知乎：https://zhuanlan.zhihu.com/p/25089778

                            个人blog：https://zhaozhanxu.com/categories/

CT相关内容。

1. match部分，ct_state，ct_zone，ct_mark，ct_label

2. action部分， 

    commit，提交一个新的connection给connection tracker模块

    table，fork一份pipeline，报文copy一份送给connection tracker，然后从当前指定table重入

    zone，制定connection zone，具体作用未知

    exec，执行action，setfield ct_mark和ct_label。要和commit一起使用。

    

    Currently, connection tracking is only available on Linux kernels with the nf_conntrackmodule loaded.

ovs说明的例子

The following flows provide an example of how toimplement a simple firewall that allows new connections from port 1 to port 2, and onlyallows established connections to send traffic from port 2 to port 1:

table=0,priority=1,action=drop    低优先级丢弃

table=0,priority=10,arp,action=normal    arp放行

table=0,priority=100,ip,ct_state=-trk,action=ct(table=1)  没有被追踪过的报文，进入connection tracker然后进入table 1

table=1,in_port=1,ip,ct_state=+trk+new,action=ct(commit),2 被追踪过且新的，1口的报文，进行commit操作，同时从2发出

table=1,in_port=1,ip,ct_state=+trk+est,action=2 被追踪过，已经建立的connection，直接从2发出

table=1,in_port=2,ip,ct_state=+trk+new,action=drop 被追踪过，2口进的，是新connection，丢弃

table=1,in_port=2,ip,ct_state=+trk+est,action=1 被追踪过，2口进，已经建立的connection，从1出