conntrack
Fonction du noyau Linux qui suit l'état de chaque flux réseau. Elle alimente le pare-feu à états (iptables -m state) et le NAT (rapprocher les paquets entrants des paquets sortants). La table du noyau retient : IP/port source et destination, protocole, état, expiration.
États : NEW, ESTABLISHED, RELATED, INVALID. conntrack -L affiche la table. Taille de hachage par défaut : environ 65 000 entrées, ce qui peut déborder sur un serveur très sollicité → « nf_conntrack: table full, dropping packet » → connexions coupées. Réglages : nf_conntrack_max, taille de la table de hachage. Pour l'UDP, qui n'a pas d'état, le noyau simule une session : flux suivi avec un délai d'expiration de 30 secondes par défaut. Les zones conntrack servent au multi-locataire (même 5-uplet, zones différentes). Sous Linux moderne, nftables remplace iptables mais s'appuie sur le même conntrack. Cilium et le réseau à base d'eBPF le contournent pour gagner en performances.