conntrack
Механизм ядра Linux, отслеживающий состояние каждого сетевого потока. На нём держатся межсетевой экран с отслеживанием состояния (iptables -m state) и NAT. Таблица в ядре хранит адреса и порты источника и назначения, протокол, состояние и срок жизни записи.
Состояния: NEW, ESTABLISHED, RELATED, INVALID. Таблицу показывает conntrack -L. На нагруженном сервере она может переполниться — и тогда в логе появляется «nf_conntrack: table full, dropping packet», а соединения рвутся. Настраиваются nf_conntrack_max и размер хеш-таблицы. Для UDP «состояние» имитируется: поток отслеживается с тайм-аутом 30 секунд по умолчанию.
Зоны conntrack позволяют держать одинаковые пятёрки в разных зонах (мультиарендность). nftables заменяет iptables, но использует тот же conntrack, а сети на eBPF, например Cilium, ради производительности его обходят.