Что это такое?

Это вспомогательные модули NAT.

Зачем это нужно?

Для корректной обработки протоколов, которые требуют специфических особенностей в работе алгоритмов NAT, например, задействуют одновременно несколько портов TCP/UDP. Наиболее распространённым из таких протоколов является FTP: он создаёт одновременно два потока данных по портам TCP 21 и 20, которые надо отслеживать согласованно. Другой частый пример — PPTP, который использует управляющее соединение TCP по порту 1723 и поток GRE для передачи данных PPP.

Как это настроить?

В текущей версии NSG Linux 2.1 вспомогательные модули могут включаться в автоматическом режиме или настраиваться вручную через таблицу iptables raw. Алгоритм автоматической процедуры является в некоторой степени эвристическим и надёжно работает, в текущей версии iptables, только для FTP. Для других сложных протоколов рекомендуется включать эти модули явным образом, в дополнение к автоматическому режиму.

Самый сложный, но гарантированно рабочий вариант — это отключить автоматический режим и полностью настроить вручную и в данном узле, и в цепочке iptables raw OUTPUT. В качестве критерия следует выбрать параметры первого пакета, инициирующего сессию; в качестве действия — target=CT; в качестве параметра действия — нужный helper. См. пример конфигурации для протокола PPTP.