Mantenga el tráfico de retorno establecido para las conexiones SOCKS salientes de SSH
Una sesión SSH puede sobrevivir mientras el cortafuegos del servidor descarta las respuestas de sitios web que llegan a puertos locales efímeros.
Si la navegación por SOCKS se rompe tras cambios en el cortafuegos del servidor SSH, no juzgue toda la ruta por el intérprete SSH que sigue vivo. El servidor abre conexiones TCP de destino separadas para el reenvío dinámico.
Sus respuestas llegan a puertos efímeros elegidos por el servidor. Una política que solo permite tráfico entrante nuevo hacia el servicio SSH puede descartar esos paquetes si no se acepta el tráfico establecido.
En un conjunto de reglas IPv4 de iptables existente, el fragmento de estado de conexión es:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTColóquelo antes de una regla final drop/reject coincidente. Admite el tráfico de retorno rastreado, no cada conexión nueva a un puerto alto.
Use la tupla descartada y el estado para verificar esta causa. OUTPUT debe permitir la conexión posterior, y las rutas IPv6 necesitan sus reglas aplicables. La negociación SOCKS, el transporte SSH y el tráfico de destino son etapas separadas que inspeccionar.