Conserveu el trànsit de retorn establert per a les connexions SOCKS sortints de SSH
Una sessió SSH pot sobreviure mentre el tallafoc del servidor descarta les respostes dels llocs web que arriben a ports locals efímers.
Si la navegació per SOCKS falla després de canvis al tallafoc del servidor SSH, no jutgeu tota la ruta per l'intèrpret SSH que encara funciona. El servidor obre connexions TCP de destinació separades per al reenviament dinàmic.
Les seves respostes arriben a ports efímers triats pel servidor. Una política que permet només trànsit entrant nou cap al servei SSH pot descartar aquests paquets si no s'accepta el trànsit establert.
En un conjunt de regles IPv4 d'iptables existent, el fragment d'estat de connexió és:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTCol·loqueu-lo abans d'una regla final drop/reject coincident. Admet el trànsit de retorn seguit, no cada connexió nova a un port alt.
Feu servir la tupla descartada i l'estat per verificar aquesta causa. OUTPUT ha de permetre la connexió posterior, i els camins IPv6 necessiten les seves regles aplicables. La negociació SOCKS, el transport SSH i el trànsit de destinació són etapes separades a inspeccionar.