Hald på etablert returtrafikk for SSH sine utgåande SOCKS-tilkoplingar

Viss SOCKS-nettlesing bryt saman etter endringar i brannmuren til SSH-tenaren, må du ikkje vurdere heile ruta ut frå skalet som framleis lever. Tenaren opnar separate TCP-tilkoplingar til målet for dynamisk vidaresending.

Svara deira kjem inn på efemære portar som tenaren vel. Ein policy som berre tillèt ny innkomande trafikk til SSH-tenesta, kan droppe desse pakkane med mindre etablert trafikk vert godteken.

I eit eksisterande IPv4 iptables-regelsett er tilkoplingsstatusfragmentet:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Set det før ein samsvarande avsluttande drop/reject. Det slepp gjennom spora returtrafikk, ikkje kvar ny tilkopling til ein høg port.

Bruk den droppa tuple og statusen for å stadfeste årsaka. OUTPUT må tillate den vidare tilkoplinga, og IPv6-ruter treng dei gjeldande reglane sine. SOCKS-forhandling, SSH-transport og måltrafikk er separate trinn å granske.