与 UDP 非常相似，基本上：它检查之前是否已看到流。

顺便说一下，我认为你不需要在那里有 RELATED（这对于像 FTP 这样的东西来说更多，在那里你有多个流参与连接）。

一般来说，ESP 会处于隧道模式，其中唯一的状态几乎是“存在”或“不存在”。NEW 只是意味着（我认为）您允许远程主机启动连接。

因此，如果远程主机确实需要连接，您将需要该规则，并且可以通过将 ESP 流限制为仅已知主机（即使用 a-s MYNETWORK或 ipset 来限制谁可以与谁交谈 ESP）来证明其存在的合理性。.

不过，您可能不需要有状态。