Запазете установения обратен трафик за изходящите SOCKS връзки на SSH
SSH сесия може да оцелее, докато защитната стена на сървъра изхвърля отговорите на сайтове, пристигащи на ефимерни локални портове.
Ако разглеждането през SOCKS се счупи след промени в защитната стена на SSH сървъра, не съдете целия маршрут по оцелялата SSH обвивка. Сървърът отваря отделни TCP връзки към дестинацията за динамично препращане.
Отговорите им пристигат на ефимерни портове, избрани от сървъра. Политика, която разрешава нов входящ трафик само към SSH услугата, може да изхвърли тези пакети, освен ако установеният трафик не се приема.
В съществуващ набор от правила IPv4 iptables фрагментът за състояние на връзката е:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTПоставете го преди съответния краен drop/reject. Той пропуска проследения обратен трафик, а не всяка нова връзка към висок порт.
Използвайте изхвърления tuple и състоянието, за да проверите тази причина. OUTPUT трябва да разрешава последващата връзка, а пътищата IPv6 се нуждаят от приложимите си правила. SOCKS преговорите, SSH транспорта и трафикът към дестинацията са отделни етапи за проверка.