Säilitage SSH väljuvate SOCKS-ühenduste jaoks loodud tagasiliiklus

SSH-sisselogimine võib püsida, samal ajal kui serveri tulemüür viskab kõrvale veebilehtede vastused, mis saabuvad efemeersetele kohalikele portidele.

Kui SOCKS-i sirvimine katkeb pärast SSH-serveri tulemüüri muudatusi, ärge hinnake kogu teekonda ellujäänud SSH-kesta järgi. Server avab dünaamilise edasisaatmise jaoks eraldi sihtkoha TCP-ühendused.

Nende vastused saabuvad serveri valitud efemeersetele portidele. Poliitika, mis lubab uut sissetulevat liiklust ainult SSH-teenusele, võib need paketid kõrvale visata, kui loodud liiklust ei aktsepteerita.

Olemasolevas IPv4 iptables-i reeglistikus on ühenduse oleku fragment:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Asetage see sobiva lõpliku drop/reject-i ette. See lubab jälgitud tagasiliiklust, mitte iga uut ühendust kõrgele pordile.

Kasutage kõrvale visatud tuple'it ja olekut selle põhjuse kontrollimiseks. OUTPUT peab lubama edasist ühendust ning IPv6-teed vajavad oma kehtivaid reegleid. SOCKS-i läbirääkimine, SSH-transport ja sihtliiklus on eraldi kontrollitavad etapid.

Seotud artiklid