Сохраняйте установившийся обратный трафик для исходящих SOCKS-соединений SSH

Если просмотр через SOCKS перестал работать после изменений в межсетевом экране SSH-сервера, не судите о всём маршруте по живой оболочке SSH. Сервер открывает отдельные TCP-соединения к назначению для динамического перенаправления.

Их ответы приходят на эфемерные порты, выбираемые сервером. Политика, разрешающая новый входящий трафик только к службе SSH, может отбрасывать эти пакеты, если установившийся трафик не принимается.

В существующем наборе правил IPv4 iptables фрагмент состояния соединения таков:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Поставьте его перед подходящим конечным drop/reject. Он пропускает отслеживаемый обратный трафик, а не каждое новое соединение к высокому порту.

Используйте отброшенный tuple и состояние, чтобы проверить эту причину. OUTPUT должен разрешать дальнейшее соединение, а путям IPv6 нужны свои применимые правила. Согласование SOCKS, транспорт SSH и трафик к назначению — отдельные этапы для проверки.