Reglas con estado y registro

El seguimiento de conexiones (ct) asigna a cada paquete un estado: new (primer paquete visto), established (hay tráfico válido en los dos sentidos), related (una conexión esperada por otra ya aceptada, como un canal de datos auxiliar) e invalid (no sigue el comportamiento esperado).

La regla ct state established,related accept suele ir primera: así las respuestas de conexiones ya aceptadas pasan sin necesitar una regla propia, y el resto de la cadena se ocupa solo de los paquetes nuevos y de los inválidos.

La acción log escribe una línea en el registro del núcleo, con el prefijo que se le indique, y no termina la evaluación: el paquete sigue a la regla siguiente. Una regla que solo registra no acepta ni descarta; lo que ocurra después lo decide lo que venga detrás, o la política de la cadena.

Para no inundar el registro se limita la tasa antes de registrar, con limit rate, y se pone un prefijo distinto en cada regla para poder agrupar las líneas luego.

Consulta registro. Cada fila agrupa las líneas de un prefijo, un origen y un puerto de destino. Un mismo origen puede aparecer con varios prefijos; para saber quién escribe más hay que sumar sus filas, no quedarse con la fila más grande.

El prefijo es el vínculo entre una línea del registro y la regla que la escribió. Busca en reglas la condición que contiene el prefijo del intento de escritorio remoto desde fuera, y fíjate también en lo que hace esa regla con el paquete.

Dos reglas de la cadena registran y además descartan: una por estado inválido y otra por el escritorio remoto desde fuera. Suma las líneas de registro de sus dos prefijos en el extracto agrupado.