Conntrack Modules

ConnectionTracking allgemein ist die Funktion das das system sich merkt wer mit wem verbunden ist.

Das ist z.B erforderlich um nur den Rücktraffic einer Verbindungen auch zuzulassen bzw. zu ermöglichen

damit das NAT weis wohin mit den Paketen.

Conntrack Module sind nun Helfer um bei bestimmten Protokollen zu helfen.

So gibt es bei Aktiven FTP einen Kanal der von Server zum Client aufgebaut wird.

Ohne das Modul macht die Firewall üblicherweise dich, oder wüste nicht wohin mit der anfrage von außen

Das Modul macht nun ne Dynamische Weiterleitung aufgrund Daten aus der Uhrsprünglichen Verbindung.

Obst Auswirkung für sich habt kommt drauf an ob du die Protokolle nutzt

Das SIP Modul wird aber üblicherweise nicht gebraucht.

Wenn der böse Hacker bei Dir Verbindungen von innen nach außen aufbauen kann, demnach bereits in Deinem Netz ist, werden Dich abgeschaltete ConnTrack-Module nicht mehr vor weiterem Schaden beschützen.

Quote from GMN2503

Aber vom Prinzip her ist meine Überlegung also richtig?

Nein zu sagen währe genauso falsch wie Ja zu sagen

Also was in der Mitte...

Schau die "Helfer" Module sind allgemein dazu da Kommunikation zu ermöglichen und auf Besonderheiten

von Protokollen einzugehen die selber IN den Protokollen andere Verbindungen benötigen oder Wege

aufmachen müssen uns so nicht anhand von IP und port zu erkennen sind.

Nen wirklichen Sicherheitsgewinn durch abschalten der Helfer ist eher als sehr sehr sehr gering einzuschätzen

und würde ich persönlich als "Nicht über den Placebo Effekt hinaus" bewerten.

und auch der Performance gewinn wird sich eher in ein paar Promille weniger CPU/Speicher auf dem Router

bemerkbar machen.

Mach es aus fürs gute Gefühl, schaden kann es nicht...