Dante UDP pravila odgovora obrću smjer from/to
Primijenite Dante pravila odgovora u smjeru od vanjskog prema unutrašnjem, umjesto da kopirate pretpostavke adrese odlaznog klijenta.
Klijent je autentificiran i UDP asocijacija je dozvoljena. Odgovori ipak ne uspijevaju. U Danteu provjerite smjer pravila koje obrađuje povratni saobraćaj.
Dante razdvaja komande za pokretanje od obrade odgovora:
| Komande pravila | from | to |
|---|---|---|
connect, bind, udpassociate | Interni klijent | Vanjsko odredište |
bindreply, udpreply | Vanjski host | Interni klijent |
Stoga kopiranje klijentovog ograničenja podmreže nepromijenjeno u oba smjera može na pravilu odgovora pogoditi pogrešnu stranu. Pregledajte namjeravane vanjske pošiljaoce i interne primaoce, a ne samo da li se riječ UDP pojavljuje u pravilu propuštanja.
Autentifikacija ima povezanu granicu. Vanjska usluga koja odgovara na UDP datagram nije SOCKS klijent koji može dovršiti razmjenu korisničkog imena i lozinke. Dante dokumentacija objašnjava da operacije odgovora proizlaze iz klijentove ranije BIND ili UDP asocijacije; autentificirajte tu početnu operaciju i primijenite odgovarajuću politiku povezanih odgovora.
To ne opravdava neograničen neželjeni dolazni saobraćaj. UDP asocijacija, politika odredišta, adresa releja i put kroz firewall i dalje su važni. Ni omogućavanje bindreply ne pretvara UDP asocijaciju u univerzalnu javnu uslugu prosljeđivanja portova.
Držite klijentsku SOCKS razmjenu i stvarni povratni put UDP-a odvojeno vidljivim. Uspješna TCP prijava ne potvrđuje ni smjer adresa u ACL-u odgovora ni dostupnost krajnje točke UDP releja.