NOTRACK必须在raw表中配置，因其是唯一能在连接跟踪初始化前介入的表，可真正绕过nf_conntrack；其他表中操作无法避免资源消耗。
在超大规模DDoS冲击下，内核连接跟踪（nf_conntrack）极易成为性能瓶颈——大量伪造SYN、ACK或碎片包会迅速耗尽连接表项，导致正常连接被踢出、CPU软中断飙升、甚至系统假死。此时，raw表的NOTRACK规则不是“放行”，而是“绕过状态跟踪”，让特定流量跳过conntrack模块，从而保住内核资源，为后续filter表的精准限速和过滤腾出空间。
为什么必须用raw表做NOTRACK
raw表是iptables中唯一能在连接跟踪初始化前介入的表，位于PREROUTING和OUTPUT链最前端，优先级高于mangle、nat和filter。只有在这里设置-j NOTRACK，才能真正阻止数据包进入nf_conntrack哈希表。其他表（如filter）中的DROP或ACCEPT都发生在连接已创建之后，对缓解conntrack压力无效。
典型误操作：在filter表里写iptables -A INPUT -s 192.168.1.100 -j DROP——该包仍会被track、分配ct entry、再丢弃，浪费资源。
哪些流量适合NOTRACK豁免
核心原则：只对**明确无需状态跟踪、且本身不构成攻击面**的流量启用NOTRACK。常见安全豁免场景包括：
-
本地回环通信：
iptables -t raw -A PREROUTING -i lo -j NOTRACK和iptables -t raw -A OUTPUT -o lo -j NOTRACK -
已知可信监控/心跳流量（如Zabbix Agent端口、Consul健康检查UDP包）：
iptables -t raw -A PREROUTING -p udp --dport 10050 -s 10.0.10.0/24 -j NOTRACK -
高吞吐但无状态的协议入口（如DNS递归查询响应、NTP应答）：
iptables -t raw -A PREROUTING -p udp --sport 53 -m state --state ESTABLISHED -j NOTRACK（注意：仅对响应方向，且需配合OUTPUT链）
⚠️ 禁止对以下流量使用NOTRACK：
– 任意公网入向TCP新连接（尤其是HTTP/HTTPS）
– 来源IP不可信或未做过初步过滤的UDP Flood目标端口
– 所有需要conntrack辅助的NAT或FTP-ALG场景
NOTRACK与后续filter规则的协同逻辑
启用NOTRACK后，该包将不再有ctstate（如ESTABLISHED、INVALID），因此filter表中依赖-m conntrack的规则对其失效。必须改用无状态匹配方式控制：
- 用
-m limit替代--ctstate NEW限速：iptables -A INPUT -p tcp --dport 80 -m limit --limit 50/sec --limit-burst 100 -j ACCEPT - 用
-m hashlimit做IP级速率控制：iptables -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit-above 10/sec --hashlimit-name http_limit --hashlimit-mode srcip -j DROP - 用
-m tcp严格校验TCP标志位（防SYN+ACK泛洪）：iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP（注意：此rule需放在NOTRACK规则之后、且state模块仍可工作，因NOTRACK仅跳过conntrack，不关闭netfilter基础匹配能力）
生产环境关键配置示例
以下为应对SYN Flood+ACK Flood混合攻击的最小可行raw+filter组合（请按顺序执行）：
# 1. 在raw表最前，豁免本地环回（必须） iptables -t raw -A PREROUTING -i lo -j NOTRACK iptables -t raw -A OUTPUT -o lo -j NOTRACK <h1>2. 豁免已确认的DNS响应（假设DNS服务器在本机，监听53/udp）</h1><p>iptables -t raw -A PREROUTING -p udp --sport 53 -m state --state ESTABLISHED -j NOTRACK iptables -t raw -A OUTPUT -p udp --dport 53 -m state --state RELATED,ESTABLISHED -j NOTRACK</p><h1>3. 在filter表，对80/443端口启用无状态限速（不依赖conntrack）</h1><p>iptables -A INPUT -p tcp -m multiport --dports 80,443 -m limit --limit 30/sec --limit-burst 60 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -m hashlimit --hashlimit-above 5/sec --hashlimit-name web_flood --hashlimit-mode srcip -j DROP</p><h1>4. 拦截明显异常的TCP包（伪造标志、非SYN的新连接等）</h1><p>iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
执行后建议运行conntrack -C观察当前连接跟踪条目数是否显著回落，并用watch -n1 'cat /proc/net/nf_conntrack | wc -l'确认内存压力缓解。
