Ohranite vzpostavljeni povratni promet za odhodne povezave SOCKS prek SSH
Prijava SSH lahko preživi, medtem ko požarni zid strežnika zavrača odgovore spletnih mest, ki prihajajo na efemerne lokalne vrata.
Če se brskanje prek SOCKS po spremembah požarnega zidu strežnika SSH pokvari, ne presojajte celotne poti po še živi lupini SSH. Strežnik odpre ločene ciljne povezave TCP za dinamično posredovanje.
Njihovi odgovori prihajajo na efemerna vrata, ki jih izbere strežnik. Pravilo, ki dovoljuje nov vhodni promet le do storitve SSH, lahko te pakete zavrže, če vzpostavljeni promet ni sprejet.
V obstoječem naboru pravil IPv4 iptables je odlomek stanja povezave:
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTPostavite ga pred ustrezno končno drop/reject. Prepusti sledeni povratni promet, ne vsake nove povezave na visoka vrata.
Za preverjanje tega vzroka uporabite zavržen tuple in stanje. OUTPUT mora dovoliti nadaljnjo povezavo, poti IPv6 pa potrebujejo svoja veljavna pravila. Pogajanja SOCKS, prenos SSH in ciljni promet so ločene faze za pregled.