уничтожить запись в ip_conntrack чем?

Попробовать написать скрипт который пропарсит твой файл (я думаю). Неужели нет другого способа?

Не совсем понял мысль - какой файл нужно пропарсить?

Перезапускай iptables, но лучше поменять, чтоб когда деньги кончились даже не было правила для него estableshed, related. Иначе эту фигню можно обойти имея тачку в нете с внешним ip :-)) Удачи.

А если поставить правило разрешающее established,related после правила для клиента?

Ну я имею ввиду, что надо написать скрипт, который будет запускаться послетого, как в принято решение об отрубе клиента, он-то и будет парсить файл, выискивать блокированные айпишники и удалять эти строки...

Мне только интересно, неужели нету более элегантного решения?

Невнимательно прочитал. Сделай цепочку для пользователей, в которой
последнее правило всегда ДРОП для всех пользователей и вставляй/удаляй
в ней ACCEPT, а правило для established,related сделай после этой цепочки.
Например:

$fw -N users-out
$fw -A users-out -j DROP

$fw -A INPUT -m tcp -p tcp --dport 8080 -j users-out
$fw -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

а потом, если надо:

$fw -I users-out 1 -s 192.168.1.234 -j ACCEPT

или

$fw -D users-out -s 192.168.1.234 -j ACCEPT

1. А разрешение работы пользователям разве должно находится в цепочке INPUT? Или это локальные пользователи?
2. Насколько я знаю, большинство файлов в /proc имеют смысл только при чтении и я сильно подозреваю, что удалять строки из /proc/net/ip_conntrack совершенно бессмысленно.
3. А так ли уж нужен этот ESTABLISHED,RELATED? Если уж очень хочется оптимизировать firewall - сделайте iptables -A FORWARD -i $INET_IFACE -o $LAN_IFACE -j ACCEPT первым правилом.

> А разрешение работы пользователям разве должно находится в цепочке INPUT?

Это для примера, можно и в любой другой.

Я так вообще уже склоняюсь к мысли о том, чтобы перефигачить исходник IPTABLES, по крайней мере изначально меня неустраивало то, что прога сама форматирует кол-во скачанных кб (Kb, Mb, Gb, etc), пусть сама прога напрямую работает с БД, и все такое...

> кол-во скачанных кб (Kb, Mb, Gb, etc)

Это ты погорячился, man iptables на предмет --exact Ж)

Спасибо, slain.

Все заработало после поднятия цепочки авторизации пользователей выше правил established, как ты и говорил.