如何在Linux系统中通过Iptables-T-Raw命令巧妙绕过连接跟踪机制以应对超大规模网络攻击？

本文共计809个文字，预计阅读时间需要4分钟。

conntrack在数据包进入协议栈后、路由决策前触发展开，而raw的PREROUTING和OUTPUT链是唯一能在conntrack初始化前介入的位置。其他表（如filter/INPUT）生效时，conntrack已完成状态创建，NOTRACK失效。

• filter 表的 INPUT 链：conntrack 状态已建立，-m conntrack --ctstate INVALID 只能丢弃，无法跳过跟踪
• nat 表的 PREROUTING：DNAT 会强制触发 conntrack，哪怕你之前在 filter 里写了 ACCEPT
• 只有 raw 表的 PREROUTING 链 + -j NOTRACK 才真正“早于”连接跟踪逻辑

-j NOTRACK 的匹配条件和典型用法

它不改变数据包内容，只打上 UNTRACKED 标记，后续所有表（包括 filter）都会跳过该连接的状态检查。