Διατηρήστε την καθιερωμένη επιστρεφόμενη κίνηση για τις εξερχόμενες συνδέσεις SOCKS του SSH

Αν η περιήγηση μέσω SOCKS χαλάσει μετά από αλλαγές στο τείχος προστασίας του διακομιστή SSH, μην κρίνετε ολόκληρη τη διαδρομή από το κέλυφος SSH που επιβιώνει. Ο διακομιστής ανοίγει ξεχωριστές συνδέσεις TCP προορισμού για την δυναμική προώθηση.

Οι απαντήσεις τους φτάνουν σε εφήμερες θύρες που επιλέγει ο διακομιστής. Μια πολιτική που επιτρέπει νέα εισερχόμενη κίνηση μόνο προς την υπηρεσία SSH μπορεί να απορρίψει αυτά τα πακέτα, εκτός αν γίνεται δεκτή η καθιερωμένη κίνηση.

Σε ένα υπάρχον σύνολο κανόνων IPv4 iptables, το τμήμα κατάστασης σύνδεσης είναι:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Τοποθετήστε το πριν από ένα αντίστοιχο τελικό drop/reject. Επιτρέπει την ιχνηλατημένη επιστρεφόμενη κίνηση και όχι κάθε νέα σύνδεση προς υψηλή θύρα.

Χρησιμοποιήστε το απορριφθέν tuple και την κατάσταση για να επιβεβαιώσετε αυτή την αιτία. Το OUTPUT πρέπει να επιτρέπει τη συνέχιση της σύνδεσης, και οι διαδρομές IPv6 χρειάζονται τους ισχύοντες κανόνες τους. Η διαπραγμάτευση SOCKS, η μεταφορά SSH και η κίνηση προορισμού είναι ξεχωριστά στάδια προς έλεγχο.