Zachowaj ustanowiony ruch powrotny dla wychodzących połączeń SOCKS SSH

Jeśli przeglądanie przez SOCKS psuje się po zmianach firewalla serwera SSH, nie oceniaj całej trasy po wciąż działającej powłoce SSH. Serwer otwiera osobne połączenia TCP do celu na potrzeby przekazywania dynamicznego.

Ich odpowiedzi trafiają na efemeryczne porty wybierane przez serwer. Zasada zezwalająca na nowy ruch przychodzący tylko do usługi SSH może odrzucać te pakiety, jeśli ustanowiony ruch nie jest akceptowany.

W istniejącym zestawie reguł IPv4 iptables fragment stanu połączenia to:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Umieść go przed pasującą końcową regułą drop/reject. Przepuszcza śledzony ruch powrotny, a nie każde nowe połączenie do wysokiego portu.

Użyj odrzuconego tuple i stanu, aby sprawdzić tę przyczynę. OUTPUT musi zezwalać na dalsze połączenie, a ścieżki IPv6 wymagają swoich obowiązujących reguł. Negocjacja SOCKS, transport SSH i ruch docelowy to osobne etapy do sprawdzenia.