Ограничен SOCKS5 сървър с Dante

Настройте Dante 1.4.4 с конкретен слушател, един разрешен клиент и една разрешена цел, като разграничавате двата етапа на правилата.

Dante прави две проверки за достъп: клиентско правило допуска входящ източник, а SOCKS правило разрешава поисканата цел и команда. Този пример за Dante 1.4.4 позволява на един клиент да достигне една контролирана цел на порт 443.

Идентичност на услугата и адреси

Създайте специален акаунт с ниски права, ако инсталацията не осигурява такъв:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

И двете идентичности могат да използват този акаунт в конфигурацията по-долу с висок порт и списък с разрешени източници. Удостоверяването с парола или привилегированите функции изискват повторен преглед на тези настройки. Заменете всички документационни адреси преди употреба.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal избира слушателя към клиентите, а external — изходящия адрес. Сървър с един интерфейс може да използва един и същ присвоен адрес за двете. Където е подходящо, може да се използва и име на интерфейс; проверете в кои адреси се разгъва.

Какво разрешава тази политика

Първото правило допуска посочения източник до слушателя. Второто разрешава само CONNECT към зададената цел. Несъответстващите заявки остават блокирани, включително BIND и UDP ASSOCIATE.

Настройките за методите не осигуряват удостоверяване с потребителско име. Достъпът зависи от тясното правило за източника и мрежовата му граница. Тази схема е подходяща само когато източникът идентифицира упълномощен клиент.

sockd -V -f /path/to/sockd.conf

Някои дистрибуции наричат изпълнимия файл danted. Проверете конфигурацията с инсталираната команда преди стартиране на услугата. Приложете съответни ограничения за източника в защитната стена и после тествайте разрешената цел и контролирана цел, която трябва да бъде отказана.

Подобни статии