Отслеживание соединений

Отслеживание соединений в Linux — механизм подсистемы Netfilter, который сопоставляет пакеты с записями потоков и присваивает им состояния, например NEW, ESTABLISHED, RELATED или INVALID. Он позволяет правилам фильтрации учитывать контекст обмена, а не только поля отдельного пакета. Записи идентифицируются ключами потока, хранятся в таблице отслеживания и удаляются по тайм-аутам. Механизм обычно необходим для обратного трафика при трансляции адресов и портов; его потребление памяти и обработка таблицы следует учитывать при большом числе одновременных соединений. Отслеживание соединений применяется в Linux-шлюзах, межсетевых экранах, NAT, контейнерных сетях и системах сегментации. Администратор контролирует допустимый размер таблицы, время жизни записей и правила обработки состояний с учётом профиля нагрузки. Оно отличается от прикладной сессии: запись connection tracking описывает сетевой поток и не подтверждает успешную аутентификацию пользователя. От IDS/IPS механизм отличается назначением: он учитывает состояние сетевого обмена для обработки пакетов, а не обнаруживает атаки; при этом IDS/IPS также могут вести состояние потоков.