conntrack
Functie in de Linux-kernel die de status van elke netwerkflow bijhoudt en zo de stateful firewall (iptables -m state) en NAT aandrijft.
De kerneltabel bevat bron- en doel-IP en -poort, protocol, status en vervaltijd. Statussen: NEW, ESTABLISHED, RELATED, INVALID. conntrack -L toont de tabel. De standaard hashgrootte (65k posities) kan op een drukke server vollopen: “nf_conntrack: table full, dropping packet” en verbindingen vallen weg. Afstemmen kan met nf_conntrack_max en de hashgrootte. Voor UDP wordt een sessie nagebootst, met standaard 30 seconden time-out. Conntrack-zones maken multi-tenant mogelijk (dezelfde 5-tuple in verschillende zones). Modern Linux: nftables vervangt iptables maar gebruikt dezelfde conntrack. Cilium en ander eBPF-netwerken omzeilen conntrack voor betere prestaties.