readme: UDP stream notes

docs/readme.eng.md

@@ -323,6 +323,9 @@ It can be fed with unidirectional or bidirectional packets.
 
 A SYN or SYN,ACK packet creates an entry in the conntrack table.
 
+First seen UDP packet creates UDP stream. It defines the stream direction. Then all packets with the same
+src_ip,src_port,dst_ip,dst_port are considered to belong to the same UDP stream. UDP stream exists till timeout.
+
 That's why iptables redirection must start with the first packet although can be cut later using connbytes filter.
 
 A connection is deleted from the table as soon as it's no more required to satisfy nfqws needs or when a timeout happens.

docs/readme.txt

@@ -368,11 +368,14 @@ CONNTRACK
 nfqws оснащен ограниченной реализацией слежения за состоянием tcp соединений (conntrack).
 Он включается для реализации некоторых методов противодействия DPI.
 На текущий момент это параметры --wssize и --dpi-desync-cutoff.
-conntrack способен следить за фазой соединения : SYN,ESTABLISHED,FIN , количеством пакетов в каждую сторону, sequence numbers.
+conntrack способен следить за фазой соединения : SYN,ESTABLISHED,FIN , количеством пакетов в каждую сторону,
-conntrack способен "кормиться" пакетами в обе или только в одну сторону.
+sequence numbers. conntrack способен "кормиться" пакетами в обе или только в одну сторону.
 Соединение попадает в таблицу при обнаружении пакетов с выставленными флагами SYN или SYN,ACK.
-Поэтому если необходим conntrack, в правилах перенаправления iptables соединение должно идти на nfqws с самого первого пакета,
+Для UDP инициатором попадания в таблицу является первый UDP пакет. Он же и определяет направление потока.
-хотя затем может обрываться по фильтру connbytes.
+Считается, что первый UDP пакет исходит от клиента к серверу. Далее все пакеты с совпадающими
+src_ip,src_port,dst_ip,dst_port считаются принадлежащими этому потоку до истечения времени неактивности.
+Поэтому если необходим conntrack, в правилах перенаправления iptables соединение должно идти на nfqws с самого первого
+пакета, хотя затем может обрываться по фильтру connbytes.
 conntrack - простенький, он не писался с учетом всевозможных атак на соединение, он не проверяет
 пакеты на валидность sequence numbers или чексумму. Его задача - лишь обслуживание нужд nfqws, он обычно
 кормится только исходящим трафиком, потому нечувствителен к подменам со стороны внешней сети.