Պահպանեք SSH-ի ելքային SOCKS միացումների հաստատված վերադարձի թրաֆիկը

Եթե SSH սերվերի firewall-ի փոփոխություններից հետո SOCKS-ով դիտարկումը կտրվում է, մի դատեք ամբողջ ուղին ողջ մնացած SSH shell-ով։ Սերվերը բացում է առանձին նպատակակետ TCP միացումներ դինամիկ փոխանցման համար։

Նրանց պատասխանները հասնում են սերվերի ընտրած ժամանակավոր պորտերին։ Միայն SSH ծառայությանը նոր ներգնա թրաֆիկ թույլատրող քաղաքականությունը կարող է գցել այդ փաթեթները, եթե հաստատված թրաֆիկը չընդունվի։

Գործող IPv4 iptables կանոնների հավաքածուում միացման վիճակի հատվածն է՝

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Տեղադրեք այն համապատասխան վերջնական drop/reject-ից առաջ։ Այն թույլ է տալիս հետևված վերադարձի թրաֆիկը, ոչ թե բարձր պորտին ուղղված յուրաքանչյուր նոր միացում։

Օգտագործեք գցված tuple-ը և վիճակը այս պատճառը ստուգելու համար։ OUTPUT-ը պետք է թույլատրի հետագա միացումը, իսկ IPv6 ուղիներին անհրաժեշտ են իրենց կիրառելի կանոնները։ SOCKS բանակցությունը, SSH տրանսպորտը և նպատակակետ թրաֆիկը ստուգելու առանձին փուլեր են։