Kekalkan Trafik Balasan yang Sudah Terbentuk untuk Sambungan SOCKS Keluar SSH
Log masuk SSH boleh terus hidup sementara firewall pelayan menggugurkan balasan tapak web yang tiba pada port setempat sementara.
Jika pelayaran melalui SOCKS rosak selepas perubahan firewall pelayan SSH, jangan nilai keseluruhan laluan berdasarkan shell SSH yang masih hidup. Pelayan membuka sambungan TCP destinasi berasingan untuk pemajuan dinamik.
Balasannya tiba pada port sementara yang dipilih pelayan. Dasar yang hanya membenarkan trafik masuk baharu ke perkhidmatan SSH boleh menggugurkan paket tersebut melainkan trafik yang sudah terbentuk diterima.
Dalam set peraturan IPv4 iptables sedia ada, serpihan keadaan sambungan ialah:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTLetakkannya sebelum peraturan drop/reject akhir yang sepadan. Ia menerima trafik balasan yang dijejaki, bukan setiap sambungan baharu ke port tinggi.
Gunakan tuple yang digugurkan dan keadaan untuk mengesahkan punca ini. OUTPUT mesti membenarkan sambungan seterusnya, dan laluan IPv6 memerlukan peraturan yang berkenaan. Rundingan SOCKS, pengangkutan SSH dan trafik destinasi ialah peringkat berasingan untuk diperiksa.