iptables::drop 在 ESTABLISHED,RELATED 之前或之后无效？

Question

我不清楚对这两种情况的 INVALID 与 ESTABLISHED,RELATED 检查是否同样快（并且如果状态完全正交），我是否必须在接受 ESTABLISHED 之前删除 INVALID，或者我可以安全地接受 ESTABLISHED 然后删除 INVALID 吗？

Answer 1

从逻辑上讲，状态应该与、和INVALID中的任何一个互斥。ESTABLISHEDRELATEDNEW

我无法为您提供吞吐量测量数据。我只能说，由于数据包只能处于四种状态之一，因此您最终不会接受无效数据包，除非您有一个包罗万象的规则ACCEPT。早点把它们扔掉，然后就没有必要担心它们了。

就我个人而言，我会INVALID尽可能早地退出链条。