連接跟蹤系統的初始化流程分析
有了前面的知識，我們再分析連接跟蹤系統的初始化ip_conntrack_standalone_init()函數就太容易不過了。還是先上ip_conntrack_standalone_init()函數的流程圖：
該函數的核心上圖已經標出來了“初始化連接跟蹤系統”和“註冊連接跟蹤的hook函數”。其他兩塊這裏簡單做個普及，不展開講。至少讓大家明白連接跟蹤爲什麼需要兩中文件系統。
1、 procfs(/proc文件系統)
這是一個虛擬的文件系統，通常掛載在/proc，允許內核以文件的形式向用戶空間輸出內部信息。該目錄下的所有文件並沒有實際存在在磁盤裏，但可以通過cat、more或>shell重定向予以寫入，這些文件甚至可以像普通文件那樣指定其讀寫權限。創建這些文件的內核組件可以說明任何一個文件可以由誰讀取或寫入。但是：用戶不能在/proc目錄下新增，移除文件或目錄。
2、 sysctl(/proc/sys目錄)
此接口允許用戶空間讀取或修改內核變量的值。不能用此接口對每個內核變量進行操作：內核應該明確指出哪些變量從此接口對用戶空間是可見的。從用戶空間，你可以用兩種方式訪問sysctl輸出的變量：sysctl系統調用接口；procfs。當內核支持procfs文件系統時，會在/proc中增加一個特殊目錄(/proc/sys)，爲每個由sysctl所輸出的內核變量引入一個文件，我們通過對這些文件的讀寫操作就可以影響到內核裏該變量的值了。
除此之外還有一種sysfs文件系統，這裏就不介紹了，如果你感興趣可以去研讀《Linux設備驅動程序》一書的詳細講解。
那麼回到我們連接跟蹤系統裏來，由此我們可以知道：連接跟蹤系統向用戶空間輸出一些內核變量，方便用戶對連接跟蹤的某些特性加以靈活控制，如改變最大連接跟蹤數、修改TCP、UDP或ICMP協議的連接跟蹤超時是時限等等。
注意一點：/proc/sys目錄下的任何一個文件名，對應着內核中有一個一模一樣同名的內核變量。例如，我的系統中該目錄是如下這個樣子：
ip_conntrack_init()函數
該函數承擔了連接跟蹤系統初始化的絕大部分工作，其流程我們也畫出來了，大家可以對照源碼來一步一步分析。
第一步：連接跟蹤的表大小跟系統內存相關，而最大連接跟蹤數和連接跟蹤表容量的關係是：最大連接跟蹤數=8×連接跟蹤表容量。代碼中是這樣的：
ip_conntrack_max = 8 ×ip_conntrack_htable_size;那麼從上面的圖我們可以看出來，我們可以通過手工修改/proc/sys/net/ipv4/netfilter目錄下同名的ip_conntrack_max文件即可動態修改連接系統的最大連接跟蹤數了。
第二步：註冊Netfilter所用的sockopt，先不講，以後再說。只要知道是這裏註冊的就行了。
第三步：爲連接跟蹤hash表ip_conntrack_hash分配內存並進行初始化。並創建連接跟蹤和期望連接跟蹤的高速緩存。
第四步：將TCP、UDP和ICMP協議的連接跟蹤協議體，根據不同協議的協議號，註冊到全局數組ip_ct_protos[]中，如下所示：
最後再做一些善後工作，例如註冊DROP這個target所需的功能函數，爲其他諸如NAT這樣的模塊所需的參數ip_conntrack_untracked做初始化，關於這個參數我們在NAT模塊中再詳細討論它。
這樣，我們連接跟蹤系統的初始化工作就算徹底完成了。有了前幾篇關於連接跟蹤的基礎知識，再看代碼是不是有種神清氣爽，豁然開朗的感覺。
至於連接跟蹤系統所提供的那五個hook函數的註冊，我想現在的你應該連都不用看就知道它所做的事情了吧。
未完，待續…