Dante se UDP-antwoordreëls keer die from/to-rigting om
Pas Dante se antwoordreëls in die rigting van buite na binne toe, eerder as om die adresaanames van die uitgaande kliënt te kopieer.
Die kliënt is geverifieer en UDP-assosiasie is toegelaat. Antwoorde misluk steeds. Ondersoek in Dante die rigting van die reël wat die terugkeerverkeer hanteer.
Dante skei die aanvangsopdragte van die hantering van antwoorde:
| Reëlopdragte | from | to |
|---|---|---|
connect, bind, udpassociate | Interne kliënt | Eksterne bestemming |
bindreply, udpreply | Eksterne gasheer | Interne kliënt |
Om 'n kliënt se subnetbeperking onveranderd in albei rigtings te kopieer, kan dus die verkeerde kant in die antwoordreël tref. Hersien die bedoelde eksterne senders en interne ontvangers, nie net of die woord UDP in 'n toelaatreël voorkom nie.
Verifikasie het 'n verwante grens. Die eksterne diens wat op 'n UDP-datagram antwoord, is nie 'n SOCKS-kliënt wat jou gebruikersnaam/wagwoord-uitruiling kan voltooi nie. Dante se dokumentasie verduidelik dat antwoordbewerkings uit 'n vroeëre BIND- of UDP-assosiasie van die kliënt volg; verifieer daardie aanvangsbewerking en pas die toepaslike beleid vir gekoppelde antwoorde toe.
Dit regverdig nie onbeperkte ongevraagde inkomende verkeer nie. Die UDP-assosiasie, bestemmingsbeleid, aflosadres en vuurmuurpad bly steeds belangrik. Om bindreply te aktiveer maak ook nie van UDP-assosiasie 'n algemene openbare poortdeurgee-diens nie.
Hou die kliëntkant-SOCKS-uitruiling en die werklike UDP-terugpad afsonderlik sigbaar. 'n Suksesvolle TCP-aanmelding verifieer nóg die adresrigting van die antwoord-ACL nóg die bereikbaarheid van die UDP-aflos-eindpunt.