Behou gevestigde terugkeerverkeer vir SSH se uitgaande SOCKS-verbindings
'n SSH-aanmelding kan oorleef terwyl die bediener se vuurmuur webwerf-antwoorde wat op efemere plaaslike poorte aankom, laat val.
As SOCKS-blaai breek nadat die SSH-bediener se vuurmuur verander het, moenie die hele roete beoordeel op grond van die SSH-dop wat nog werk nie. Die bediener maak afsonderlike bestemming-TCP-verbindings oop vir dinamiese aanstuur.
Hul antwoorde kom by efemere poorte aan wat die bediener kies. 'n Beleid wat nuwe inkomende verkeer slegs na die SSH-diens toelaat, kan daardie pakkette laat val tensy gevestigde verkeer aanvaar word.
In 'n bestaande IPv4-iptables-reelstel is die verbindingstatus-fragment:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTPlaas dit voor 'n ooreenstemmende terminale drop/reject. Dit laat gevolgde terugkeerverkeer toe, eerder as elke nuwe verbinding na 'n hoe poort.
Gebruik die gedropte tuple en status om hierdie oorsaak te verifieer. OUTPUT moet die voortgaande verbinding toelaat, en IPv6-roetes het hul toepaslike reels nodig. SOCKS-onderhandeling, SSH-transport en bestemmingsverkeer is afsonderlike fases om te ondersoek.