nftables 的状态化连接追踪完全依赖内核 conntrack 子系统，仅匹配其预计算的状态标签（如 established、related），不解析协议或校验 TCP 状态机；conntrack 在 PREROUTING 和 OUTPUT 钩子实时分析五元组并打标，nftables 通过 ct state 高效过滤，invalid 必须优先于 new 匹配，典型规则应先 drop invalid 和 new，再 accept established/related。
nftables 的状态化连接追踪完全依赖内核的 conntrack 子系统，它本身不解析协议、不维护连接表、也不校验 TCP 状态机——所有“状态”都是 conntrack 预计算并打标后的结果，nftables 只做高效匹配。
conntrack 是真正的状态引擎
Linux 内核模块 nf_conntrack 在 PREROUTING 和 OUTPUT hook 点实时分析每个数据包，提取五元组（协议、源/目的 IP、源/目的端口），生成或更新连接跟踪项（conntrack entry）。每条连接在表中存两条方向记录：原始流和应答流。TCP 连接的状态（如 ESTABLISHED）由三次握手实际完成情况决定；UDP 流靠首包+后续双向通信判定；ICMP 则按关联性归类。这些状态标签（如 ct state established）被附加到 skb 元数据中，供 nftables 直接读取。
ct state 是唯一可靠的状态过滤依据
nftables 通过 ct state 关键字匹配 conntrack 提供的标签，这是 L4 层最轻量、最抗欺骗的状态判断方式：
- ct state established：仅放行已确认建立的连接（TCP 完成三次握手，UDP 有来回通信，ICMP 响应匹配请求）
- ct state related：匹配由主连接触发的辅助流（如 FTP 数据通道、ICMP 目的不可达、DNS 响应），需加载对应 helper 模块（如 nf_conntrack_ftp）
- ct state invalid：包无法归属任何连接（分片丢失、NAT 不一致、序列号异常等），应优先丢弃
- ct state { new, untracked }：新连接请求或绕过跟踪的包（如 raw socket 发送），通常需严格限制
注意顺序：invalid 必须放在 new 之前，否则伪造 ACK 或乱序包可能被误判为 new 而漏放。
状态感知不是“智能”，而是确定性跟踪
所谓“状态化”不等于协议深度理解。nftables 不检查 SYN 是否收到 SYN-ACK，也不验证 TCP 标志位组合是否合法（如 SYN+FIN）。它只信任 conntrack 输出的标签。这种设计带来两个关键优势：一是性能高（纯查表+位匹配），二是防绕过（攻击者无法仅靠篡改包头绕过 established 判断）。真正的协议层校验（如 TCP 状态机异常、HTTP 请求合法性）需交由 eBPF 程序或 userspace helper 完成，再通过 skb mark 或 ct mark 与 nftables 协同。
实际规则组织建议
一个健壮的 input 链典型结构如下：
- 先 drop ct state invalid（拦截畸形包）
- 再 drop ct state { new, untracked }（默认拒绝新入向连接）
- 最后 accept ct state { established, related }（放行合法回连与辅助流）
该模式无需开放大量端口，天然支持连接有状态性，是现代主机防火墙的基线配置。
