Behold etableret returtrafik for SSH's udgående SOCKS-forbindelser

Hvis SOCKS-browsing går i stykker efter ændringer i SSH-serverens firewall, så bedøm ikke hele ruten ud fra det overlevende SSH-shell. Serveren åbner separate TCP-forbindelser til destinationen for dynamisk videresendelse.

Deres svar ankommer på efemære porte, som serveren vælger. En politik, der kun tillader ny indgående trafik til SSH-tjenesten, kan droppe disse pakker, medmindre etableret trafik accepteres.

I et eksisterende IPv4 iptables-regelsæt er forbindelsestilstandsfragmentet:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Anbring det før en matchende terminal drop/reject. Det tillader sporet returtrafik frem for enhver ny forbindelse til en høj port.

Brug den droppede tuple og tilstand til at bekræfte denne årsag. OUTPUT skal tillade den videre forbindelse, og IPv6-ruter har brug for deres gældende regler. SOCKS-forhandling, SSH-transport og destinationstrafik er separate trin at undersøge.