Etablierten Rückverkehr für ausgehende SOCKS-Verbindungen von SSH beibehalten
Eine SSH-Anmeldung kann weiterleben, während die Server-Firewall Website-Antworten verwirft, die auf kurzlebigen lokalen Ports eintreffen.
Wenn das Surfen über SOCKS nach Änderungen an der Firewall des SSH-Servers abbricht, beurteilen Sie nicht die gesamte Route anhand der weiterhin bestehenden SSH-Shell. Der Server öffnet für die dynamische Weiterleitung eigene TCP-Verbindungen zum Ziel.
Deren Antworten treffen auf kurzlebigen, vom Server gewählten Ports ein. Eine Richtlinie, die neuen eingehenden Verkehr nur zum SSH-Dienst zulässt, kann diese Pakete verwerfen, sofern etablierter Verkehr nicht akzeptiert wird.
In einem bestehenden IPv4-iptables-Regelsatz lautet das Verbindungszustands-Fragment:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTSetzen Sie es vor eine passende abschließende drop/reject-Regel. Es lässt verfolgten Rückverkehr zu, nicht jede neue Verbindung zu einem hohen Port.
Prüfen Sie diese Ursache anhand des verworfenen Tupels und Zustands. OUTPUT muss die Weiterverbindung erlauben, und IPv6-Pfade benötigen ihre geltenden Regeln. SOCKS-Aushandlung, SSH-Transport und Zielverkehr sind getrennte Prüfstufen.