Попробуйте реализовать ip spoofing. ИМХО всякий пакет, пришедший на целевую машину в таком случае, попадет под определение invalid.

Спасибо за совет, ип-спуфинг не помог, но проблему решил с помощью scapy, фаззингом TCP-пакетов. Определенная комбинация флагов воспринимается iptables'ом за инвалидный пакет.

Проблема следующая: необходимо проверить, что правило

 iptables -A INPUT -m state --state INVALID -j DROP 

действительно дропает инвалидные пакеты. Т.е. вроде все просто, нужно сгенерировать неправильный пакет(ы) и послать на машину, а в логах tcpdump'а их не поймать. И вот над этой задачей я бьюсь уже достаточно долгое время. Все сводится к тому, что я не знаю какой пакет нужно генерировать, что в нем должно быть не так.

В гугле найти толковое описание пакета, который iptables принимает за инвалидный я не смог, поэтому обращаюсь за помощью - может кто-то сталкивался?

Заранее спасибо за ответы.