Zadržite uspostavljeni povratni saobraćaj za SSH-ove odlazne SOCKS veze

Ako se pregledanje preko SOCKS-a pokvari nakon promena firewall-a SSH servera, nemojte suditi celu rutu po preživeloj SSH ljusci. Server otvara zasebne odredišne TCP veze za dinamičko prosleđivanje.

Njihovi odgovori stižu na efemerne portove koje bira server. Pravilo koje dozvoljava novi dolazni saobraćaj samo ka SSH servisu može odbaciti te pakete osim ako se uspostavljeni saobraćaj prihvati.

U postojećem skupu pravila IPv4 iptables, fragment stanja veze je:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Postavite ga pre odgovarajućeg završnog drop/reject. On propušta praćeni povratni saobraćaj, a ne svaku novu vezu ka visokom portu.

Upotrebite odbačeni tuple i stanje da proverite ovaj uzrok. OUTPUT mora dozvoliti dalju vezu, a IPv6 putanje trebaju svoja primenljiva pravila. SOCKS pregovaranje, SSH transport i odredišni saobraćaj odvojene su faze za proveru.