Выбар метадаў аўтэнтыфікацыі SOCKS5 у Dante

У SOCKS5 аўтэнтыфікацыя ўзгадняецца да таго, як кліент адправіць запыт на прызначэнне. Таму ранні збой уліковых даных — гэта іншая падзея, чым збой FTP, HTTPS або іншай праграмы за проксі.

Прывітанне кліента пералічвае метады аўтэнтыфікацыі, якія ён падтрымлівае. Сервер выбірае адзін метад з гэтага спісу і вяртае выбар. Значэнне 0xff азначае, што ні адзін прапанаваны метад не прыдатны і злучэнне павінна закрыцца. Кліент не проста перабірае ўсе метады на баку сервера пасля няўдалага пароля.

Што кіруе парадак у Dante

Dante 1.4.x называе наладу ўзроўню пратакола socksmethod. Яго дакументацыя кажа, што метады пералічваюцца ў парадку перавагі. Для палітыкі, якая дазваляе абодва метады, гэтае аб'яўленне аддае перавагу імені карыстальніка/паролю, калі кліент яго прапануе:

socksmethod: username none

Зваротны парадак спісу аддае перавагу доступу без аўтэнтыфікацыі, калі прапаноўваюцца абодва метады:

socksmethod: none username

Гэта альтэрнатыўныя аб'яўленні метадаў, а не поўныя канфігурацыі сервера. Інтэрфейсы праслухоўвання, дазволеныя кліенты, правілы прызначэння і любыя абмежаванні аўтэнтыфікацыі для канкрэтнага правіла па-ранейшаму маюць значэнне.

Дазвол none мае канкрэтныя наступствы: кліент, які прапануе толькі адсутнасць аўтэнтыфікацыі, можа быць прыняты паводле адпаведных правілаў. Размяшчэнне username першым не ператварае спіс з none у патрабаванне, каб усе давалі пароль.

Спачатку выберыце патрабаванне

Калі кожны дазволены кліент павінен аўтэнтыфікавацца іменем карыстальніка/паролем, наладзьце гэтае патрабаванне паслядоўна ў глабальных і адпаведных правілах, а не дадавайце none як агульнае выпраўленне сумяшчальнасці. Калі ананімны доступ наўмысны для абмежаванай групы кліентаў, зрабіце групу і яе дазволеныя прызначэнні яўнымі.

У Dante таксама ёсць clientmethod, які датычыцца праверак, што выконваюцца пры падключэнні TCP-кліента, да ўзгаднення SOCKS. Гэта асобны ўзровень ад метадаў, якімі абменьваюцца ў прывітанні SOCKS5. Фрагменты канфігурацыі з састарэлым ключавым словам method трэба чытаць у адпаведнасці з дапаможнікам усталяванай версіі Dante.

Калі два кліенты паводзяць сябе па-рознаму, параўнайце, што кожны прапануе, што выбірае Dante і ці паспяхова праходзіць суб-узгадненне выбранага метаду. Затым праверце адказ SOCKS на прызначэнне. Гэтая паслядоўнасць выяўляе адсутны зваротны выклік уліковых даных, не прыпісваючы кожны збой FTP і не змяняючы палітыку аўтэнтыфікацыі сервера наслепа.

Нарэшце, аўтэнтыфікацыя іменем карыстальніка/паролем у SOCKS5 не шыфруе абмен паролем. Выкарыстоўвайце належным чынам абаронены транспарт або сетку, калі гэтыя ўліковыя даныя патрабуюць канфідэнцыйнасці.