linux - 如何关闭nf_conntrack?

Question

linux中如何关闭nf_conntrack，并且不会被iptables自动拉起。之前试过网上的帖子，关闭后启动iptables，nf_conntrack又被自动拉起

能帮忙看看以下处理步骤的命令正确吗？

关闭内核中的nf_conntrace操作

1. 关闭所有防火墙策略

关闭SELinux

sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config

setenforce 0

停掉防火墙

systemctl stop firewalld

停掉iptables

systemctl stop iptables
systemctl stop ip6tables

检查iptables是否已经关闭

systemctl status iptables
systemctl status ip6tables

确定防火墙已经关闭

查看nf_conntrack模块使用情况

lsmod |grep nf_conntrack

2. 处理iptables

使用防火墙要移除state模块，因为使用该模块需要加载 nf_conntrack。确保 iptables 规则中没有出现类似 state 模块的规则，如果有的话将其移除

-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
注释 /etc/sysconfig/iptables-config 中的：IPTABLES_MODULES="ip_conntrack_netbios_ns"

3. 移除模块

   移除模块 模块

   rmmod xt_conntrack
   rmmod nf_conntrack
   rmmod iptable_nat
   rmmod ip6table_nat
   rmmod nf_defrag_ipv4
   rmmod nf_defrag_ipv6
   rmmod nf_nat
   rmmod nf_nat_ipv4
   rmmod nf_nat_ipv6
   rmmod nf_conntrack_ipv4
   rmmod nf_conntrack_ipv6

移除 nf_conntrack 模块

modprobe -r xt_NOTRACK nf_conntrack_netbios_ns nf_conntrack_ipv4 xt_state
modprobe -r nf_conntrack

在Linux系统的/etc/modprobe.d目录下，新建一个文件，比如命名为"disable-nf-conntrack.conf"，并在其中输入以下内容：disable-nf-conntrack.conf

vim /etc/modprobe.d/disable-nf-conntrack.conf

由于iptables默认会依赖nf_conntrack，因此需要修改iptables规则，以便不依赖nf_conntrack。可以通过以下命令实现：

iptables -t raw -I PREROUTING -j NOTRACK

保存iptables规则

为了确保iptables规则在重启后不会丢失，需要将其保存到一个文件中。可以使用以下命令将规则保存到/etc/sysconfig/iptables文件中：
iptables-save > /etc/sysconfig/iptables

4. 检查

   检查/proc/net/ 下面应该没有 nf_conntrack 了

Answer 1

在Linux中关闭nf_conntrack，并且避免被iptables自动拉起，可以按照以下步骤进行操作：

关闭nf_conntrack模块
通过以下命令，可以停止nf_conntrack模块的运行：

sudo modprobe -r nf_conntrack

禁用nf_conntrack模块
在Linux系统的/etc/modprobe.d目录下，新建一个文件，比如命名为"disable-nf-conntrack.conf"，并在其中输入以下内容：

install nf_conntrack /bin/true

这将告诉系统在启动时不要加载nf_conntrack模块。

修改iptables规则
由于iptables默认会依赖nf_conntrack，因此需要修改iptables规则，以便不依赖nf_conntrack。可以通过以下命令实现：

sudo iptables -t raw -I PREROUTING -j NOTRACK

这将禁止iptables使用nf_conntrack跟踪连接并记录状态，从而实现不依赖nf_conntrack的iptables规则。

保存iptables规则
为了确保iptables规则在重启后不会丢失，需要将其保存到一个文件中。可以使用以下命令将规则保存到/etc/sysconfig/iptables文件中：

sudo iptables-save > /etc/sysconfig/iptables

通过以上操作，即可关闭nf_conntrack并避免被iptables自动拉起。但需要注意的是，如果其他应用依赖nf_conntrack，可能会影响系统的正常运行。