conntrack
Linux-Kernel-Feature, das den Zustand jedes Netzwerk-Flows verfolgt. Treibt die zustandsbehaftete Firewall (iptables -m state) und NAT an, indem eingehende Pakete den passenden ausgehenden zugeordnet werden.
Der Kernel führt dafür eine Tabelle mit Quell-/Ziel-IP, Port, Protokoll, Zustand und Ablaufzeit. Zustände sind NEW, ESTABLISHED, RELATED und INVALID; conntrack -L zeigt die Tabelle an. Die Standardgröße der Hash-Tabelle liegt bei 65.000 Einträgen — auf einem stark belasteten Server kann sie volllaufen, worauf der Kernel mit "nf_conntrack: table full, dropping packet" quittiert und Verbindungen abbrechen. Abhilfe schafft man über nf_conntrack_max und die Hash-Größe. UDP wird simuliert zustandsbehaftet verfolgt, mit einem Standard-Timeout von 30 Sekunden. Conntrack-Zonen erlauben Multi-Tenant-Setups, in denen dasselbe 5-Tupel in verschiedenen Zonen getrennt geführt wird. Modernes Linux ersetzt iptables zunehmend durch nftables, das aber dieselbe Conntrack-Infrastruktur nutzt; eBPF-basiertes Networking wie Cilium umgeht conntrack ganz, um Performance zu gewinnen.