შეინარჩუნეთ დამყარებული დაბრუნების ტრაფიკი SSH-ის გამავალი SOCKS კავშირებისთვის

თუ SSH სერვერის firewall-ის ცვლილებების შემდეგ SOCKS-ით დათვალიერება გატყდა, ნუ განსჯით მთელ მარშრუტს გადარჩენილი SSH გარსით. სერვერი ხსნის ცალკეულ მიზნობრივ TCP კავშირებს დინამიკური გადამისამართებისთვის.

მათი პასუხები მოდის სერვერის მიერ არჩეულ ეფემერულ პორტებზე. პოლიტიკა, რომელიც ახალ შემომავალ ტრაფიკს მხოლოდ SSH სერვისზე უშვებს, შეიძლება აგდებდეს ამ პაკეტებს, თუ დამყარებული ტრაფიკი არ მიიღება.

არსებულ IPv4 iptables წესების ნაკრებში კავშირის მდგომარეობის ფრაგმენტია:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

მოათავსეთ იგი შესაბამის საბოლოო drop/reject-ამდე. ის უშვებს თვალთვალის ქვეშ მყოფ დაბრუნების ტრაფიკს და არა ყოველ ახალ კავშირს მაღალ პორტზე.

ამ მიზეზის დასადასტურებლად გამოიყენეთ ჩამოგდებული tuple და მდგომარეობა. OUTPUT-მა უნდა დაუშვას შემდგომი კავშირი, ხოლო IPv6 მარშრუტებს საკუთარი მოქმედი წესები სჭირდებათ. SOCKS მოლაპარაკება, SSH ტრანსპორტი და მიზნობრივი ტრაფიკი ცალკეული შესამოწმებელი ეტაპებია.