Linux Kernel TCP/IP Stack — L3 Layer — netfilter 框架 — conntrack（CT，连接跟踪）

Posted 2021-09-30 范桂飓

目录

文章目录

• 目录
• CT

CT

CT（conntrack，connection tracking，连接跟踪），顾名思义，就是跟踪（并记录）连接的状态，是许多网络应用的基础。例如：iptables、LVS/IPVS、OvS、Docker Network、Kubernetes Service、ServiceMesh Sidecar 等。

CT 在 netfilter 框架中完成了 Connection 信息的采集和录入功能，单并不会修改或丢弃数据包，后者是其他模块（e.g. NAT）基于 Netfilter Hook 机制完成的。

需要注意的是，CT 中的 connection，与 TCP 的 connection 并不完全相同。CT 中，一个 IP 5-tuple 定义的一条 Flow 就表示一条 Connection。

例如，上图是一台 IP 地址为 10.1.1.2 的 Linux 机器，我们能看到这台机器上有三条连接：

1. 机器访问外部