不是内核bug也不是iptables的原因，问题出在了新内核的配置上。在2.6.20之后的内核，在netfilter的配置以前在ipv4 netfilter configuration中的相当一部分移到了core netfilter configuration中,在core netfilter configuration中配置了state的match之后，另外必须在ip: netfilter configuration中的conntract也选上，否则就会出现本文标题中的invalid argument错误。这个问题，困扰了我很久，最终在国外的一个
maillist上找到了原因。这个问题多出现在内核升级之后，对于很多发行版本，由于把所有的feature都编译成了模块，所以不会出现此问题。希望可以帮到大家。