← retour aux snippets

iptables: NOTRACK pour bypass conntrack

Exclure un trafic spécifique du suivi d'état (conntrack) pour réduire la charge ou éviter des bugs.

bash network #iptables#raw#notrack

objectif

Désactiver conntrack sur du trafic volumineux/éphémère (ex: monitoring) pour préserver les tables.

code minimal

# table raw, avant conntrack
sudo iptables -t raw -A PREROUTING -p udp --dport 8125 -j NOTRACK
sudo iptables -t raw -A OUTPUT -p udp --sport 8125 -j NOTRACK

utilisation

# vérifier les compteurs
sudo iptables -t raw -L -v

variante(s) utile(s)

# équivalent nftables
# table inet raw { chain prerouting { type filter hook prerouting priority -300; udp dport 8125 ct state new notrack } }

notes

  • attention: pas d’ESTABLISHED/RELATED sur ce trafic.
  • ciblez précisément, sinon vous cassez des flux.