Cadwch draffig dychwelyd sefydledig ar gyfer cysylltiadau SOCKS allan SSH
Gall mewngofnodiad SSH oroesi tra bo mur tân y gweinydd yn gollwng atebion gwefannau sy'n cyrraedd porthladdoedd lleol dros dro.
Os bydd pori drwy SOCKS yn torri ar ôl newidiadau i fur tân y gweinydd SSH, peidiwch â barnu'r llwybr cyfan drwy'r gragen SSH sy'n dal i fyw. Mae'r gweinydd yn agor cysylltiadau TCP cyrchfan ar wahân ar gyfer anfon ymlaen deinamig.
Mae eu hatebion yn cyrraedd porthladdoedd dros dro a ddewisir gan y gweinydd. Gall polisi sy'n caniatáu traffig i mewn newydd i'r gwasanaeth SSH yn unig ollwng y pecynnau hynny oni bai bod traffig sefydledig yn cael ei dderbyn.
Mewn set rheolau IPv4 iptables bresennol, y darn cyflwr cysylltiad yw:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTGosodwch ef o flaen drop/reject terfynol cyfatebol. Mae'n derbyn traffig dychwelyd wedi'i olrhain, yn hytrach nag pob cysylltiad newydd i borthladd uchel.
Defnyddiwch y tuple a'r cyflwr a ollyngwyd i wirio'r achos hwn. Rhaid i OUTPUT ganiatáu'r cysylltiad ymlaen, ac mae angen eu rheolau perthnasol ar lwybrau IPv6. Mae trafodaeth SOCKS, cludiant SSH a thraffig cyrchfan yn gamau ar wahân i'w harchwilio.