-m state 已被弃用，因内核4.19+移除xt_state模块；当前必须用-m conntrack --ctstate读取/proc/net/nf_conntrack实时状态，配合iptstate监控与限速等实现真正动态过滤。
不能直接用 iptables -m state 构建“连接感知的动态流量过滤”——这个模块早已被弃用，当前内核（5.4+）默认使用 conntrack 机制，iptables 中对应的是 -m conntrack，不是 -m state。
为什么 -m state 不再可用
Linux 内核从 4.19 开始逐步移除旧的 ip_conntrack 状态模块，-m state 依赖的 xt_state 内核模块在多数发行版（如 RHEL 8+/CentOS 8+、Ubuntu 20.04+）中已被编译为不可加载或默认不启用。运行 iptables -m state --state NEW -j ACCEPT 很可能报错：iptables: No chain/target/match by that name。
- 检查是否加载：执行
lsmod | grep state，通常无输出 - 替代方案必须用
-m conntrack --ctstate，它读取的是/proc/net/nf_conntrack中的实时连接跟踪状态 - 旧脚本里所有
--state ESTABLISHED,RELATED都得改成--ctstate ESTABLISHED,RELATED
-m conntrack 的实际匹配逻辑和关键状态值
-m conntrack 不是“猜测”连接状态，而是严格比对内核 conntrack 表中记录的连接元数据。常见状态含义与使用场景：
-
ESTABLISHED：双向通信已确认（如 TCP 三次握手完成、UDP 有来回包） -
RELATED：与已有连接相关的新连接（如 FTP 数据连接、ICMP 错误报文触发的响应） -
NEW：连接的第一个包（如 SYN、首个 UDP 包），但需注意：仅当未被 conntrack 记录时才匹配 -
INVALID：conntrack 无法识别或已失效的包（常用于丢弃，但要小心误杀） -
UNTRACKED：被raw表中-j NOTRACK显式排除跟踪的连接
典型安全规则链头部应为：iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT，这保证返回流量必过，且不依赖协议端口白名单。
构建“动态过滤”必须配合 iptstate 实时验证
所谓“动态”，是指规则行为随连接生命周期变化——但 iptables 本身不主动刷新规则，必须靠人工或脚本根据 iptstate 输出做决策。例如：
- 发现大量
SYN_SENT状态连接堆积？可能是被 SYN Flood 攻击，需加限速：iptables -A INPUT -p tcp --syn -m limit --limit 1/sec -j ACCEPT - 看到某 IP 的
TIME_WAIT连接异常多？说明它频繁短连，可针对性限流：iptables -A INPUT -s 192.168.1.100 -m conntrack --ctstate NEW -m limit --limit 5/min -j ACCEPT - 想放行某个临时建立的 PPTP 会话？先用
sudo iptstate -f src 192.168.100.201确认其proto=gre或tcp dpt=1723已在 conntrack 表中，再写 FORWARD 规则，否则包会被 DROP
注意：iptstate 刷新时默认读 /proc/net/nf_conntrack，若系统启用了 nf_conntrack_tcp_be_liberal=1（某些云主机默认开启），RELATED 匹配会变宽松，可能导致非预期放行。
容易被忽略的底层依赖和性能陷阱
conntrack 机制不是免费的。每条连接占用内核内存，且匹配 --ctstate 比纯地址/端口匹配多一次哈希查表。在高并发场景下：
- 默认 conntrack 表大小（
net.netfilter.nf_conntrack_max）通常仅 65536，连接数超限会导致新连接无法被跟踪，--ctstate NEW失效，所有新包按默认策略处理（常为 DROP） - 启用
-m conntrack后，iptables -L -v中的包计数可能不准——因为 conntrack 匹配发生在 netfilter 早期，部分包在后续链中被 DROP，但计数已累加 - 不要在 OUTPUT 链滥用
--ctstate：本地进程发起的连接，在 OUTPUT 链时尚未进入 conntrack 表，NEW不会匹配，要用OUTPUT配合OUTPUT的原始连接判断逻辑
真正可靠的动态过滤，从来不是单靠一条 -m conntrack 规则，而是 conntrack 状态 + iptstate 监控 + 主动限速/限频 + raw 表绕过冗余跟踪 的组合。漏掉任一环，都会让“动态”变成“幻觉”。
