Зберігайте встановлений зворотний трафік для вихідних SOCKS-з'єднань SSH

Сеанс SSH може залишатися живим, поки мережевий екран сервера відкидає відповіді сайтів, що надходять на ефемерні локальні порти.

Якщо перегляд через SOCKS зламався після змін у мережевому екрані SSH-сервера, не оцінюйте весь маршрут за живим shell SSH. Сервер відкриває окремі TCP-з'єднання до призначення для динамічного переспрямування.

Їхні відповіді надходять на ефемерні порти, які вибирає сервер. Політика, що дозволяє новий вхідний трафік лише до служби SSH, може відкидати ці пакети, якщо встановлений трафік не приймається.

У наявному наборі правил IPv4 iptables фрагмент стану з'єднання такий:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Розмістіть його перед відповідним кінцевим drop/reject. Він пропускає відстежуваний зворотний трафік, а не кожне нове з'єднання до високого порту.

Використайте відкинутий tuple і стан, щоб перевірити цю причину. OUTPUT має дозволяти подальше з'єднання, а шляхам IPv6 потрібні їхні застосовні правила. Переговори SOCKS, транспорт SSH і трафік до призначення — окремі етапи для перевірки.

Схожі статті