שמרו על תעבורת החזרה המבוססת של חיבורי SOCKS יוצאים ב-SSH

אם הגלישה דרך SOCKS נשברת אחרי שינויים בחומת האש של שרת ה-SSH, אל תשפטו את כל המסלול לפי מעטפת ה-SSH ששרדה. השרת פותח חיבורי TCP נפרדים אל היעד עבור העברה דינמית.

התגובות שלהם מגיעות לפורטים זמניים שהשרת בוחר. מדיניות שמתירה תעבורה נכנסת חדשה רק לשירות ה-SSH עלולה להפיל את החבילות האלה אלא אם תעבורה מבוססת מתקבלת.

במערך כללי IPv4 iptables קיים, קטע מצב החיבור הוא:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

הציבו אותו לפני כלל drop/reject סופי תואם. הוא מתיר תעבורת חזרה במעקב, ולא כל חיבור חדש לפורט גבוה.

השתמשו ב-tuple שהופל ובמצב כדי לאמת את הסיבה הזו. OUTPUT חייב להתיר את החיבור להמשך, ומסלולי IPv6 זקוקים לכללים החלים עליהם. משא ומתן SOCKS, הובלת SSH ותעבורת היעד הם שלבים נפרדים לבדיקה.