如果我正在运行 iptables，我可以禁用 ip-conntrack 吗？

Question

按照这个帖子， 可以安全地增加 ip_conntrack_max 吗？ 我注意到我使用了 ftp_conntrack，因此我决定删除 ip-conntrack。但是它似乎被 2-3 个其他模块使用，包括 xt_state 和 iptables。有什么想法我可以删除它吗？

Answer 1

不，您不能删除已加载依赖模块的模块。您可以禁用 iptables，并删除使用 ip-conntrack 的其他模块。基本上，您将严重削弱防火墙。ip-conntrack 是使 iptables 成为状态防火墙的核心模块之一。

ftp_conntrack 可能还依赖于 ip-conntrack，它负责跟踪大多数连接。我期望 ip-conntrack 跟踪 FTP 连接的控制通道。