Сразу после загрузки модулей conntrack нет (так и должно быть).

После efw restart модули появляются. Это плохо на высоконагруженных роутерах - загруженные модули conntrack приводят к тому, что ядро отслеживает все соединения и не создаёт новых при переполнении таблицы conntrack.

и что ещё хуже - увеличение таблицы через sysctl не работает, ибо на момент загрузки системы модулей conntrack в системе нет.

Необходимо сделать так, что бы перезапуск firewall в etcnet не загружал дополнительных модулей ядра, если в этом нет необходимости.

Воспроизводится очень просто на любой системе, не являющейся шлюзом:
[root@riderkvmS ~]# lsmod |grep conn
[root@riderkvmS ~]# efw restart
Interface is "default"
Table is "filter"
Chain is ""
Action is "restart"

Firewall type is "iptables"
Stopping iptables for default
	Flushing the "OUTPUT" chain in the "filter" table
	Flushing the "FORWARD" chain in the "filter" table
	Flushing the "INPUT" chain in the "filter" table
	Flushing the "POSTROUTING" chain in the "nat" table
	Flushing the "OUTPUT" chain in the "nat" table
	Flushing the "PREROUTING" chain in the "nat" table
	Flushing the "POSTROUTING" chain in the "mangle" table
	Flushing the "OUTPUT" chain in the "mangle" table
	Flushing the "FORWARD" chain in the "mangle" table
	Flushing the "INPUT" chain in the "mangle" table
	Flushing the "PREROUTING" chain in the "mangle" table
	Setting ACCEPT policy for the "INPUT" chain in the "filter" table
	Setting ACCEPT policy for the "FORWARD" chain in the "filter" table
	Setting ACCEPT policy for the "OUTPUT" chain in the "filter" table
Starting iptables for default
	Setting ACCEPT policy for the "INPUT" chain in the "filter" table
	Setting ACCEPT policy for the "FORWARD" chain in the "filter" table
	Setting ACCEPT policy for the "OUTPUT" chain in the "filter" table

[root@riderkvmS ~]# lsmod |grep conn
nf_conntrack_ipv4      14110  3 nf_nat,iptable_nat
nf_defrag_ipv4          1537  1 nf_conntrack_ipv4
nf_conntrack           83469  3 nf_nat,iptable_nat,nf_conntrack_ipv4