conntrack
Recurso do kernel Linux: rastreia o estado de cada fluxo de rede. Sustenta o firewall stateful (iptables -m state) e o NAT (casando pacotes de entrada com os de saída). Tabela no kernel: IP/porta de origem/destino, protocolo, estado, expiração.
Estados: NEW, ESTABLISHED, RELATED, INVALID. conntrack -L mostra a tabela. Tamanho padrão do hash: 65 mil entradas → pode encher num servidor pesado → "nf_conntrack: table full, dropping packet" → conexões caindo. Ajuste fino: nf_conntrack_max, tamanho do hash. Simulação de estado para UDP: fluxo rastreado com timeout padrão de 30 segundos. Zonas de conntrack para multi-tenant (mesma 5-tupla em zonas diferentes). Linux moderno: o nftables substitui o iptables, mas usa o mesmo conntrack. Redes baseadas em Cilium/eBPF contornam o conntrack por desempenho.