Как я могу препятствовать тому, чтобы iptables считал байты и пакеты на пустых цепочках?

Вы не можете, если Вы не исправляете ядро. И у Вас есть лучшие вещи сделать.

Счетчики увеличены __nf_ct_refresh_acct если параметр do_acct является ненулевым. Эта функция вызвана через две обертки: nf_ct_refresh_acct, который увеличивает счетчики, и nf_ct_refresh, который не делает. Выбор обертки сделан согласно типу протокола: протоколы, которые могут отследить, делают, те, которые не могут сделать нет.

Объем вычисления является крошечным. Это - всего два синхронизируемых дополнения. Современные процессоры имеют очень глубокие конвейеры инструкции, который делает условные инструкции дорогими: процессор пытается предсказать, какое ответвление будет взято, чтобы начать выполнять следующие несколько инструкций, прежде чем это определило результат теста, и если прогноз является неправильным, большая работа должна быть отброшена. Дополнения действительно требуют синхронизации между центральными процессорами, потому что все центральные процессоры должны обновлять тот же счетчик; на типичной многоядерной архитектуре это означает, что ядро должно заблокировать строку кэша, содержащую счетчики. Если бы функция была дополнительной, то ЦП должен был бы считать значение конфигурации, которое не требует, чтобы эксклюзивный доступ так был немного менее дорогим. Тем не менее это было бы чрезвычайно крошечное усиление, чтобы быть сбалансированным немного менее крошечной потерей для большинства пользователей, которые хотят счетчики. Просто не стоит иметь опцию отключить эту опцию.