Behoud gevestigd retourverkeer voor uitgaande SOCKS-verbindingen van SSH

Als browsen via SOCKS stukgaat na wijzigingen in de firewall van de SSH-server, beoordeel dan niet de hele route aan de hand van de nog levende SSH-shell. De server opent afzonderlijke TCP-verbindingen naar de bestemming voor dynamische doorsturing.

Hun antwoorden komen binnen op efemere poorten die de server kiest. Een beleid dat nieuw inkomend verkeer alleen naar de SSH-dienst toestaat, kan die pakketten laten vallen tenzij gevestigd verkeer wordt geaccepteerd.

In een bestaande IPv4 iptables-regelset is het fragment voor verbindingsstatus:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Plaats het vóór een overeenkomende terminale drop/reject. Het laat gevolgd retourverkeer door, niet elke nieuwe verbinding naar een hoge poort.

Gebruik de weggevallen tuple en status om deze oorzaak te verifiëren. OUTPUT moet de vervolgverbinding toestaan, en IPv6-paden hebben hun toepasselijke regels nodig. SOCKS-onderhandeling, SSH-transport en bestemmingsverkeer zijn afzonderlijke fasen om te inspecteren.