SSH の外向き SOCKS 接続で確立済みの戻りトラフィックを維持する

SSH サーバーのファイアウォール変更後に SOCKS ブラウジングが壊れた場合、生き残っている SSH シェルだけで経路全体を判断しないでください。サーバーは動的フォワーディングのために別個の宛先 TCP 接続を開きます。

その応答はサーバーが選ぶ一時ポートに届きます。新しい受信トラフィックを SSH サービスだけに許可するポリシーでは、確立済みトラフィックを受け入れない限り、それらのパケットを破棄してしまいます。

既存の IPv4 iptables ルールセットでは、接続状態の断片は次のとおりです。

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

一致する最終的な drop/reject の前に置きます。これにより、高いポートへの新しい接続すべてではなく、追跡された戻りトラフィックが許可されます。

破棄された tuple と状態を使ってこの原因を確認します。OUTPUT は後続の接続を許可する必要があり、IPv6 の経路には該当するルールが必要です。SOCKS ネゴシエーション、SSH 転送、宛先トラフィックは別々の確認段階です。