Säilytä vakiintunut paluuliikenne SSH:n lähteville SOCKS-yhteyksille

SSH-kirjautuminen voi säilyä, vaikka palvelimen palomuuri hylkää verkkosivujen vastaukset, jotka saapuvat lyhytaikaisille paikallisille porteille.

Jos SOCKS-selailu hajoaa SSH-palvelimen palomuurin muutosten jälkeen, älä arvioi koko reittiä henkiin jääneen SSH-kuoren perusteella. Palvelin avaa erilliset kohde-TCP-yhteydet dynaamista edelleenohjausta varten.

Niiden vastaukset saapuvat palvelimen valitsemille lyhytaikaisille porteille. Käytäntö, joka sallii uutta saapuvaa liikennettä vain SSH-palveluun, voi pudottaa ne paketit, ellei vakiintunutta liikennettä hyväksytä.

Olemassa olevassa IPv4 iptables -sääntökokonaisuudessa yhteystilan katkelma on:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Sijoita se vastaavan lopullisen drop/reject-säännön eteen. Se päästää jäljitetyn paluuliikenteen, ei jokaista uutta yhteyttä korkeaan porttiin.

Varmista syy pudotetulla tuplella ja tilalla. OUTPUTin on sallittava eteenpäin menevä yhteys, ja IPv6-reitit tarvitsevat omat soveltuvat sääntönsä. SOCKS-neuvottelu, SSH-siirto ja kohdeliikenne ovat erillisiä tarkistettavia vaiheita.

Aiheeseen liittyvät artikkelit