Conntrack sur Linux : comment ça marche

En suivant le lien de redirection automatique, vous trouverez des explications et descriptions de Conntrack sur Linux.

Le suivi des connexions (« conntrack ») est une fonctionnalité essentielle de la pile réseau du noyau Linux. Il permet au noyau de suivre toutes les connexions ou flux réseau logiques et d'identifier ainsi tous les paquets qui composent chaque flux afin qu'ils puissent être traités ensemble de manière cohérente.

Conntrack est une fonctionnalité importante du noyau qui sous-tend certains cas d'utilisation principaux clés :

• NAT s'appuie sur les informations de suivi des connexions pour pouvoir traduire tous les paquets d'un flux de la même manière. Par exemple, lorsqu'un pod accède à un service Kubernetes, l'équilibrage de charge de kube-proxy utilise NAT pour rediriger la connexion vers un pod backend particulier. C'est conntrack qui enregistre que pour une connexion particulière, les paquets vers l'adresse IP du service doivent tous être envoyés au même pod backend et que les paquets revenant du pod backend doivent être dé-NATés vers le pod source.
• Les pare-feu à état (Stateful firewalls), tels que Calico, s'appuient sur les informations de suivi des connexions pour mettre sur liste blanche avec précision le trafic de « réponse ». Cela vous permet d'écrire une politique réseau qui dit « autoriser mon pod à se connecter à n'importe quelle IP distante » sans avoir besoin d'écrire une politique pour autoriser explicitement le trafic de réponse. (Sans cela, vous devriez ajouter la règle beaucoup moins sécurisée « autoriser les paquets vers mon pod à partir de n'importe quelle IP ».)

De plus, conntrack améliore normalement les performances (réduction du CPU et des latences de paquets) puisque seul le premier paquet d'un flux doit passer par le traitement complet de la pile réseau pour déterminer ce qu'il faut en faire. Consultez le blog « Comparaison des modes kube-proxy » pour un exemple de cela en action.

Cependant, conntrack a ses limites…

Article complémentaire sur Tigera : Linux Conntrack : pourquoi il tombe en panne et comment éviter le problème