NOTRACK & NAT

А что вы хотите этим добиться? NAT не работает без трекинга соединений.

На высоконагружненном сервере хочу использовать DNAT и уменьшить conntrack там где он не нужен.

Эх... а в BSD можно было...

iproute2 nat ?

Возможно =). Пытаюсь понять как сделать трансляцию порта.

А в бсд трекинг соединений два раза - одна раз для стейтфульных правил, а другой раз для ната - оптимизация, чо.

использовать DNAT и уменьшить conntrack там где он не нужен.

Делайте NOTRACK для того трафика для которого не нужен днат, не используейте стейты для фильтрации, и подкрутите размер хештаблиц.

iproute нат работает без стейтов и просто реврайтит пакетики, это сильно ограничивает его область применения.

Мне нужно сделать rewrite пакета, точнее исправить номер порта.

а обратный пакет вам не нужно по правильному адресу слать, или инициатор соединий один только?

Спасибо,разницу между стейтфул и стейтлес нат знаем.

" NAT и NOTRACK" -> стейтлес нат.

Не выйдет. Соберите xtables, там есть RAWNAT, вот там уже делайте RAWDNAT.

Спасибо! То что ожидал!