SSH의 아웃바운드 SOCKS 연결에 대해 설정된 반환 트래픽 유지

SSH 서버 방화벽 변경 후 SOCKS 브라우징이 끊기면, 살아남은 SSH 셸만으로 전체 경로를 판단하지 마십시오. 서버는 동적 포워딩을 위해 별도의 목적지 TCP 연결을 엽니다.

그 응답은 서버가 고른 임시 포트로 도착합니다. 새 인바운드 트래픽을 SSH 서비스로만 허용하는 정책은 설정된 트래픽을 받아들이지 않으면 해당 패킷을 버릴 수 있습니다.

기존 IPv4 iptables 규칙 집합에서 연결 상태 조각은 다음과 같습니다.

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

일치하는 최종 drop/reject 앞에 두십시오. 그러면 높은 포트로 향하는 모든 새 연결이 아니라 추적된 반환 트래픽이 허용됩니다.

이 원인을 확인하려면 버려진 tuple과 상태를 사용하십시오. OUTPUT은 이후 연결을 허용해야 하며, IPv6 경로에는 해당 규칙이 필요합니다. SOCKS 협상, SSH 전송, 목적지 트래픽은 각각 따로 점검할 단계입니다.