รักษาการรับส่งข้อมูลขากลับที่ตั้งไว้สำหรับการเชื่อมต่อ SOCKS ขาออกของ SSH

หากการท่องเว็บผ่าน SOCKS ใช้ไม่ได้หลังการเปลี่ยนแปลงไฟร์วอลล์ของเซิร์ฟเวอร์ SSH อย่าตัดสินเส้นทางทั้งหมดจากเชลล์ SSH ที่ยังอยู่ เซิร์ฟเวอร์เปิดการเชื่อมต่อ TCP ปลายทางแยกต่างหากสำหรับการส่งต่อแบบไดนามิก

คำตอบของพวกมันมาถึงพอร์ตชั่วคราวที่เซิร์ฟเวอร์เลือก นโยบายที่อนุญาตเฉพาะทราฟฟิกขาเข้าใหม่ไปยังบริการ SSH อาจทิ้งแพ็กเก็ตเหล่านั้น เว้นแต่จะยอมรับทราฟฟิกที่ตั้งไว้แล้ว

ในชุดกฎ IPv4 iptables ที่มีอยู่ ส่วนสถานะการเชื่อมต่อคือ:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

วางไว้ก่อนกฎ drop/reject สุดท้ายที่ตรงกัน กฎนี้ยอมรับทราฟฟิกขากลับที่ถูกติดตาม ไม่ใช่ทุกการเชื่อมต่อใหม่ไปยังพอร์ตสูง

ใช้ tuple ที่ถูกทิ้งและสถานะเพื่อยืนยันสาเหตุนี้ OUTPUT ต้องอนุญาตการเชื่อมต่อต่อไป และเส้นทาง IPv6 ต้องมีกฎที่ใช้บังคับ การเจรจา SOCKS การขนส่ง SSH และทราฟฟิกปลายทางเป็นขั้นตอนแยกกันที่ต้องตรวจสอบ