iptables配置conntrack的NOTRACK和TRACK-创新互联

iptables本身没有TRACK target，以至于你不能指定需要被conntrack模块处理的数据包白名单，比如我想实现：除了来源IP是192.168.10.0/16网段的需要被track之外，其它的都不要track。
      当然，你可以通过下面的配置实现我的需求：
iptables -t raw -A PREROUTING ! -s 192.168.10.0/16 -j NOTRACK
...反向NOTRACK类似，-s换-d
如果更复杂一点呢？比如除了来源IP限制之外，还有协议，端口等。
       熟悉访问控制列表设计的都知道，ACL的“与”操作可以在单条规则中实现，而“或”操作则由多条规则实现，因此应用于上述随便复杂的需求，都是可以完成 的，甚至抛开“单条与/多条或”原则，仅仅是扩充ipset也可以很好配置出来任意复杂的规则满足任意复杂的需求。
      但是有没有一个更简单的办法？当然有，实现一个和NOTRACK对立的target，即TRACK target即可。它的实现就是清除已经附着在skb上的untracked conn。这样当我需要添加track白名单时，我可以这么做：
iptables -t raw -A PREROUTING -j NOTRACK
iptables -t raw -A PREROUTING $mt1 $mt2 ... -j TRACK # 单条的matches AND操作
...# 多条的 matches OR操作
iptables -t raw -A PREROUTING $mt''1 $mt''2 ... -j TRACK
OK，就这样，很简单。
       不过iptables没有内置OR操作是完全符合ACL理念的，该理念中，如果想实现或，就配置多条规则，事实上大多数的鉴权系统都是如此的理念。看看C 语言的逻辑判断会发现同样的理念，如果是AND操作，逐条语句便和顺序无关，因为最终必须将每个语句全部计算一遍，如果是OR操作，计算效率就和顺序有关 了，只要到达“真”值，计算就可以结束了，当然内部细节还是和实现相关的。所以，对于AND操作，由于它是闭合的，一条语句就可以囊括进去，但是OR却是 不闭合的，你不知道计算将在哪里结束。

成都创新互联公司长期为上1000+客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为肃州企业提供专业的成都做网站、成都网站建设，肃州网站改版等技术服务。拥有十多年丰富建站经验和众多成功案例,为您定制开发。

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

文章名称：iptables配置conntrack的NOTRACK和TRACK-创新互联
网页URL：http://cdxtjz.cn/article/dcodhp.html