Tartsa meg a létrejött visszaforgalmat az SSH kimenő SOCKS kapcsolataihoz

Az SSH-bejelentkezés életben maradhat, miközben a kiszolgáló tűzfala eldobja a rövid életű helyi portokra érkező webhely-válaszokat.

Ha a SOCKS-böngészés az SSH-kiszolgáló tűzfalának módosításai után elromlik, ne az életben maradt SSH-héj alapján ítélje meg a teljes útvonalat. A kiszolgáló külön cél-TCP-kapcsolatokat nyit a dinamikus továbbítás számára.

Válaszaik a kiszolgáló által választott rövid életű portokra érkeznek. Az a szabály, amely csak az SSH-szolgáltatás felé enged új bejövő forgalmat, eldobhatja ezeket a csomagokat, hacsak a létrejött forgalom nincs engedélyezve.

Egy meglévő IPv4 iptables-szabálykészletben a kapcsolatállapot-szakasz:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Helyezze egy illeszkedő záró drop/reject elé. Ez a nyomon követett visszaforgalmat engedi át, nem minden új kapcsolatot egy magas portra.

A kiejtett tuple és az állapot segítségével ellenőrizze ezt az okot. Az OUTPUT-nak engednie kell a továbbmenő kapcsolatot, és az IPv6-útvonalaknak saját érvényes szabályaikra van szükségük. A SOCKS-tárgyalás, az SSH-szállítás és a célforgalom külön ellenőrizendő szakaszok.

Kapcsolódó cikkek