Правилата за отговори на UDP в Dante обръщат посоката from/to
Прилагайте правилата за отговори на Dante в посока отвън към вътре, вместо да копирате допусканията за адреса на изходящия клиент.
Клиентът е удостоверен и UDP асоциацията е разрешена. Отговорите все още се провалят. В Dante проверете посоката на правилото, което обработва връщащия трафик.
Dante разделя иницииращите команди от обработката на отговори:
| Команди на правилото | from | to |
|---|---|---|
connect, bind, udpassociate | Вътрешен клиент | Външна дестинация |
bindreply, udpreply | Външен хост | Вътрешен клиент |
Затова копирането на ограничението за подмрежа на клиента без промяна в двете посоки може да съвпадне с грешната страна в правилото за отговор. Прегледайте предвидените външни изпращачи и вътрешни получатели, а не само дали думата UDP присъства в правило за пропускане.
Удостоверяването има свързана граница. Външната услуга, която отговаря на UDP дейтаграма, не е SOCKS клиент, който може да завърши обмена на потребителско име и парола. Документацията на Dante обяснява, че операциите за отговор произтичат от по-ранна BIND или UDP асоциация на клиента; удостоверете тази инициираща операция и приложете подходящата политика за свързани отговори.
Това не оправдава неограничен непоискан входящ трафик. UDP асоциацията, политиката за дестинация, адресът на ретранслатора и пътят през защитната стена все още са важни. Включването на bindreply също не превръща UDP асоциацията в универсална публична услуга за пренасочване на портове.
Дръжте SOCKS обмена от страна на клиента и действителния обратен път на UDP видими поотделно. Успешният TCP вход не потвърждава нито посоката на адресите в ACL за отговори, нито достижимостта на крайната точка на UDP ретранслатора.