Захавайце ўсталяваны зваротны трафік для зыходных SOCKS-злучэнняў SSH

Сеанс SSH можа працаваць, пакуль міжсеткавы экран сервера адкідае адказы сайтаў, што прыходзяць на эфемерныя лакальныя парты.

Калі пасля змен у міжсеткавым экране SSH-сервера прагляд праз SOCKS перастаў працаваць, не ацэньвайце ўвесь маршрут па жывой SSH-абалонцы. Сервер адкрывае асобныя TCP-злучэнні да прызначэння для дынамічнага перанакіравання.

Іх адказы прыходзяць на эфемерныя парты, якія выбірае сервер. Палітыка, якая дазваляе новы ўваходны трафік толькі да службы SSH, можа адкідаць гэтыя пакеты, калі ўсталяваны трафік не прымаецца.

У існуючым наборы правілаў IPv4 iptables фрагмент стану злучэння такі:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Змясціце яго перад адпаведным канчатковым drop/reject. Ён прапускае адсочваемы зваротны трафік, а не кожнае новае злучэнне да высокага парта.

Выкарыстайце адкінуты tuple і стан, каб праверыць гэтую прычыну. OUTPUT павінен дазваляць далейшае злучэнне, а шляхам IPv6 патрэбныя адпаведныя правілы. SOCKS-перамовы, транспарт SSH і трафік прызначэння — асобныя этапы для праверкі.

Падобныя артыкулы