Konservu establitajn revenajn trafikojn por la eliraj SOCKS-konektoj de SSH
SSH-ensaluto povas postvivi dum la fajromuro de la servilo forĵetas retpaĝajn respondojn alvenantajn sur efemerajn lokajn pordojn.
Se retumado per SOCKS paneas post ŝanĝoj en la fajromuro de la SSH-servilo, ne juĝu la tutan vojon laŭ la pluviva SSH-ŝelo. La servilo malfermas apartajn celajn TCP-konektojn por dinamika plusendado.
Iliaj respondoj alvenas sur efemeraj pordoj elektitaj de la servilo. Politiko permesanta novan envenantan trafikon nur al la SSH-servo povas forĵeti tiujn pakaĵojn se establita trafiko ne estas akceptata.
En ekzistanta aro de IPv4-iptables-reguloj, la konektostata fragmento estas:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTMetu ĝin antaŭ kongrua fina drop/reject. Ĝi permesas spuritan revenan trafikon, anstataŭ ĉiun novan konekton al alta pordo.
Uzu la forĵetitan tuple kaj staton por kontroli ĉi tiun kaŭzon. OUTPUT devas permesi la pluan konekton, kaj IPv6-vojoj bezonas siajn validajn regulojn. SOCKS-intertraktado, SSH-transporto kaj cela trafiko estas apartaj etapoj por ekzameni.