Behale de etabléierten Retour-Trafic fir SSH seng erausgehend SOCKS-Verbindungen
Eng SSH-Anmeldung kann iwwerliewe wärend d'Server-Firewall d'Äntwerte vu Websäite verwërft, déi op ephemere lokale Porten ukommen.
Wann d'Browsing iwwer SOCKS no Ännerungen un der Firewall vum SSH-Server briecht, beurteelt net de ganze Wee unhand vun der Shell, déi nach lieft. De Server mécht getrennt TCP-Verbindungen zum Zil op fir d'dynamesch Viruleedung.
Hir Äntwerten kommen op ephemere Porten un, déi de Server auswielt. Eng Politik, déi neien erakomenden Trafic nëmmen zum SSH-Déngscht erlaabt, kann déi Pakete verwerfen, ausser etabléierten Trafic gëtt ugeholl.
An engem bestehenden IPv4-iptables-Regelsaz ass de Verbindungszoustandsfragment:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTSetzt en virun eng passend terminal drop/reject. Et erlaabt verfollegten Retour-Trafic, net all nei Verbindung op en héije Port.
Benotzt den verworfene Tuple an de Zoustand fir dës Ursaach ze iwwerpréiwen. OUTPUT muss déi weider Verbindung erlaben, an IPv6-Weeër brauchen hir applicabel Regelen. SOCKS-Verhandlung, SSH-Transport an Ziltrafic sinn getrennt Etappen, déi ee kontrolléiere muss.