RELATED状态的包如何看到？

jakkye

iptables提供的conntrack功能声称可以看到所谓的RELATED,ESTABLISHED状态的数据包，ESTABLISHED数据包肯定是有的，但RELATED状态的包怎么样看到呢？
　　我有一台机器，两个网卡，这台机器装了linux，作为一个网关，连接两个网段，192.168.6.0/24和192.168.7.0/24，我在此机器上使用命令:
iptables -I FORWARD -p tcp -m state --state RELATED -j LOG --log-prefix "related:"
然后从192.168.6.1机器上ftp一个192.168.7.1的机器，无论是ftp的主动模式还是被动模式，都看不到有RELATED状态的数据包记录下来。ftp下载文件是成功的，并且使用:
iptables -I FORWARD -p tcp -m state --state ESTABLISHED -j LOG --log-prefix "establish:"
发现无论主动模式还是被动模式，包都是established的。
　　这是怎么回事啊？我看记录下来的包是用命令dmesg看的。

　　iptables对于related状态的包究竟能不能检测到啊？请教高手指点一二。

orphen

RELATED状态比较麻烦，因为依赖RELATED连接的协议，都是将连接信息放在数据报里面的，这就需要iptables进入数据报内部进行识别。而iptables对于ftp的RELATED识别并不是很好(我个人认为)，例如，做NAT时，对于内部FTP服务，需要单独挂载ip_conntrack_ftp和ip_nat_ftp模块。如果按照RELATED的正常解释，对于FTP是不需要特殊对待的。