Zadržite uspostavljeni povratni promet za SSH-ove odlazne SOCKS veze

Ako se pregledavanje preko SOCKS-a pokvari nakon promjena vatrozida SSH poslužitelja, nemojte suditi cijelu rutu prema preživjeloj SSH ljusci. Poslužitelj otvara zasebne odredišne TCP veze za dinamičko prosljeđivanje.

Njihovi odgovori pristižu na efemerne portove koje odabire poslužitelj. Pravilo koje dopušta novi dolazni promet samo prema SSH usluzi može odbaciti te pakete osim ako se uspostavljeni promet prihvaća.

U postojećem skupu pravila IPv4 iptables, fragment stanja veze je:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Postavite ga prije odgovarajućeg završnog drop/reject. On propušta praćeni povratni promet, a ne svaku novu vezu prema visokom portu.

Upotrijebite odbačeni tuple i stanje da provjerite ovaj uzrok. OUTPUT mora dopustiti daljnju vezu, a IPv6 putanje trebaju svoja primjenjiva pravila. SOCKS pregovaranje, SSH prijenos i odredišni promet odvojene su faze za provjeru.