Behold etablert returtrafikk for SSH-ens utgående SOCKS-tilkoblinger

Hvis SOCKS-nettlesing bryter sammen etter endringer i SSH-serverens brannmur, ikke bedøm hele ruten ut fra skallet som fortsatt lever. Serveren åpner separate TCP-tilkoblinger til målet for dynamisk videresending.

Svarene deres ankommer på efemære porter som serveren velger. En policy som bare tillater ny innkommende trafikk til SSH-tjenesten, kan droppe disse pakkene med mindre etablert trafikk godtas.

I et eksisterende IPv4 iptables-regelsett er tilkoblingstilstandsfragmentet:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Plasser det før en samsvarende avsluttende drop/reject. Det slipper gjennom sporet returtrafikk, ikke hver ny tilkobling til en høy port.

Bruk den droppede tuple og tilstanden for å bekrefte årsaken. OUTPUT må tillate den videre tilkoblingen, og IPv6-ruter trenger sine gjeldende regler. SOCKS-forhandling, SSH-transport og måltrafikk er separate trinn å undersøke.