Linux Netfilter框架之conntrack连接跟踪机制

一、Linux的Netfilter框架

对于不经常接触Linux内核的应用层开发者来说，可能对Netfilter了解的比较少。但大多数Linux用户多少都用过或知道iptables，然而，iptables的功能实现就是在Netfilter之上完成的。

Netfilter框架由著名的Linux开发人员Rusty Russell于1998年开发，旨在改进以前实现ipchains（Linux2.2.x）和ipfwadm（Linux2.0.x）。

Netfilter是 Linux 内核中的一个框架，它为以定制处理器形式实施的各种网络相关操作提供了灵活性。Netfilter提供数据包过滤、网络地址翻译和端口翻译的各种选项。

Netfilter其详细构成：

Linux的Netfilter框架提供了如下功能：

• 数据包筛选 (iptables)

• 数据包过滤

• 网络地址转换 (NAT)

• 数据包修改 (修改数据包头信息mangling)

• 连接跟踪

• 收集网络统计信息

Netfilter是 Linux 内核中进行数据包过滤