Zachovajte nadviazanú návratovú prevádzku pre odchádzajúce SOCKS spojenia SSH

Prihlásenie SSH môže prežiť, aj keď firewall servera zahadzuje odpovede webov prichádzajúce na efemérne miestne porty.

Ak sa prehliadanie cez SOCKS po zmenách firewallu SSH servera pokazí, neposudzujte celú cestu podľa prežívajúceho shellu SSH. Server otvára samostatné cieľové TCP spojenia pre dynamické presmerovanie.

Ich odpovede prichádzajú na efemérne porty, ktoré server vyberá. Politika povoľujúca novú prichádzajúcu prevádzku len k službe SSH môže tieto pakety zahodiť, ak sa nadviazaná prevádzka neprijíma.

V existujúcej sade pravidiel IPv4 iptables je fragment stavu spojenia tento:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Umiestnite ho pred zodpovedajúce koncové drop/reject. Prepúšťa sledovanú návratovú prevádzku, nie každé nové spojenie na vysoký port.

Na overenie tejto príčiny použite zahodený tuple a stav. OUTPUT musí povoliť ďalšie spojenie a cesty IPv6 potrebujú svoje platné pravidlá. Vyjednávanie SOCKS, transport SSH a cieľová prevádzka sú samostatné fázy na preskúmanie.

Súvisiace články