Păstrați traficul de retur stabilit pentru conexiunile SOCKS de ieșire ale SSH
O sesiune SSH poate supraviețui în timp ce firewall-ul serverului aruncă răspunsurile site-urilor care sosesc pe porturi locale efemere.
Dacă navigarea prin SOCKS se strică după modificări ale firewall-ului serverului SSH, nu judecați întreaga rută după shell-ul SSH care încă trăiește. Serverul deschide conexiuni TCP separate către destinație pentru redirecționarea dinamică.
Răspunsurile lor sosesc pe porturi efemere alese de server. O politică ce permite trafic de intrare nou doar către serviciul SSH poate arunca acele pachete dacă traficul stabilit nu este acceptat.
Într-un set de reguli IPv4 iptables existent, fragmentul privind starea conexiunii este:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTPlasați-l înaintea unei reguli finale drop/reject care se potrivește. Admite traficul de retur urmărit, nu fiecare conexiune nouă către un port înalt.
Folosiți tuplul aruncat și starea pentru a verifica această cauză. OUTPUT trebuie să permită conexiunea ulterioară, iar căile IPv6 au nevoie de regulile aplicabile. Negocierea SOCKS, transportul SSH și traficul de destinație sunt etape separate de inspectat.