Mantenha o tráfego de retorno estabelecido para as conexões SOCKS de saída do SSH
Um login SSH pode sobreviver enquanto o firewall do servidor descarta as respostas dos sites que chegam a portas locais efêmeras.
Se a navegação por SOCKS quebrar após mudanças no firewall do servidor SSH, não julgue toda a rota pelo shell SSH que continua vivo. O servidor abre conexões TCP de destino separadas para o encaminhamento dinâmico.
As respostas delas chegam a portas efêmeras escolhidas pelo servidor. Uma política que só permite tráfego de entrada novo para o serviço SSH pode descartar esses pacotes, a menos que o tráfego estabelecido seja aceito.
Num conjunto de regras IPv4 do iptables existente, o fragmento de estado da conexão é:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTColoque-o antes de uma regra final drop/reject correspondente. Ele admite o tráfego de retorno rastreado, não cada conexão nova para uma porta alta.
Use a tupla descartada e o estado para verificar esta causa. OUTPUT deve permitir a conexão seguinte, e os caminhos IPv6 precisam das suas regras aplicáveis. A negociação SOCKS, o transporte SSH e o tráfego de destino são etapas separadas a inspecionar.