iptables ip_conntrack

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Hallo zusammen,

mit -m state übergebe ich ein Paket innerhalb ip-tables dem Stateful.
Dafür benötige ich, sofern ich das richtig verstehe, ip_conntrack.
Wiederrum wenn ich es richtig verstehe gemäß netfilter.org, kann ich
zwar bei einigen Ports das Stateful weglassen, aber ip_conntrack würde
trotzdem gefüllt werden.

Das ganze stellt mich vor ein Dilemma.
Innerhalb von wenigen Tagen leben im ip_conntrack mehr asl 12000
Verbindung. Ein echo "0" in die ip_conntrack reinjagen bringt nicht
wirklich viel, einzig die Tables flushen und das modul ip_conntrack neu
laden macht einen reboot nicht erforderlich.

Es muß doch, abgesehen von den Patch für selbstkompilierer, eine
Möglichkeit geben, zu alte Verbindung rauszuwerfen?

cu/2 iae
Matthias
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.7 (GNU/Linux)

iD8DBQFAVx4MWTMfCbz57ScRAjIsAJ9HWyHZQj4sR6Ut+SSZIMhkwkPypQCeLRoy
jeEj+IHU2ymHUATXqEssJcI=
=hKZG
-----END PGP SIGNATURE-----