Zadržite uspostavljeni povratni saobraćaj za SSH-ove odlazne SOCKS veze

Ako se pregledanje preko SOCKS-a pokvari nakon promjena firewall-a SSH servera, nemojte suditi cijelu rutu po preživjeloj SSH ljusci. Server otvara zasebne odredišne TCP veze za dinamičko prosljeđivanje.

Njihovi odgovori stižu na efemerne portove koje bira server. Politika koja dopušta novi dolazni saobraćaj samo prema SSH servisu može odbaciti te pakete osim ako se uspostavljeni saobraćaj prihvati.

U postojećem skupu pravila IPv4 iptables, fragment stanja veze je:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Postavite ga prije odgovarajućeg završnog drop/reject. On propušta praćeni povratni saobraćaj, a ne svaku novu vezu prema visokom portu.

Upotrijebite odbačeni tuple i stanje da provjerite ovaj uzrok. OUTPUT mora dopustiti daljnju vezu, a IPv6 putevi trebaju svoja primjenjiva pravila. SOCKS pregovaranje, SSH transport i odredišni saobraćaj odvojene su faze za provjeru.