rmmod nf_conntrack_ipv4 rmmod nf_conntrack_ipv6 rmmod xt_state rmmod xt_CT rmmod xt_conntrack rmmod iptable_nat rmmod ipt_REDIRECT rmmod nf_nat rmmod nf_conntrack
2、禁用跟踪模块，把它加到黑名单（/etc/modprobe.d/blacklist.conf ）：
# 禁用 nf_conntrack 模块 blacklist nf_conntrack blacklist nf_conntrack_ipv6 blacklist xt_conntrack blacklist nf_conntrack_ftp blacklist xt_state blacklist iptable_nat blacklist ipt_REDIRECT blacklist nf_nat blacklist nf_conntrack_ipv4
3、去掉防火墙里所有和状态相关的配置（比如state状态，NAT功能），示例：
*filter # 允许ping -A INPUT -p icmp -j ACCEPT # 对本地回路和第2张网卡放行 -A INPUT -i lo -j ACCEPT -A INPUT -i eth1 -j ACCEPT # 对端口放行 -A INPUT -p tcp --dport 1331 -j ACCEPT # 对IP放行 -A INPUT -s 192.168.10.31 -j ACCEPT #允许本机进行DNS查询 -A INPUT -p udp --sport 53 -j ACCEPT -A OUTPUT -p udp -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT
另外，防火墙的配置文件最好也改下，不要加载任何额外模块（/etc/sysconfig/iptables-config）：
IPTABLES_MODULES="" # 不需要任何附加模块 IPTABLES_MODULES_UNLOAD="no" # 避免iptables重启后sysctl中对应的参数被重置为系统默认值 IPTABLES_SAVE_ON_STOP="no" IPTABLES_SAVE_ON_RESTART="no" IPTABLES_SAVE_COUNTER="no" IPTABLES_STATUS_NUMERIC="yes" IPTABLES_STATUS_VERBOSE="no" IPTABLES_STATUS_LINENUMBERS="no"
往往我们对连接的跟踪都是基于操作系统的（netstat / ss ），防火墙的连接状态完全是它自身实现产生的。
总结：防火墙有条件还是交给上层设备完成会更好，使用防火墙一定要做调优；如果不需要防火墙的跟踪功能，规则简单的可以开启NOTRACK选项，条件允许的情况下就删除它吧！