Un servidor SOCKS5 restringit amb Dante

Configura Dante 1.4.4 amb un punt d’escolta concret, un client permès i una destinació permesa, distingint les dues etapes de regles.

Dante aplica dos controls d’accés: una regla de client admet un origen entrant i una regla SOCKS permet la destinació i l’ordre demanades. Aquest exemple de Dante 1.4.4 deixa que un client arribi a una destinació controlada pel port 443.

Identitat del servei i adreces

Crea un compte dedicat amb pocs privilegis si la instal·lació no en proporciona cap:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Les dues identitats poden utilitzar aquest compte per a la configuració següent, amb port alt i llista d’orígens permesos. L’autenticació amb contrasenya o les funcions privilegiades exigeixen revisar aquestes opcions. Substitueix totes les adreces de documentació abans de fer-la servir.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal tria el punt d’escolta orientat als clients; external tria l’adreça de sortida. Un servidor amb una interfície pot usar la mateixa adreça assignada per a tots dos. També es pot utilitzar un nom d’interfície quan escaigui; comprova a quines adreces s’expandeix.

Què permet aquesta política

La primera regla admet l’origen indicat al punt d’escolta. La segona només permet CONNECT a l’objectiu indicat. Les peticions sense coincidència continuen bloquejades, incloses BIND i UDP ASSOCIATE.

Els ajustos de mètode no proporcionen autenticació per nom d’usuari. L’accés depèn de la regla d’origen estreta i de la seva frontera de xarxa. Aquesta disposició només és adient si aquell origen identifica un client autoritzat.

sockd -V -f /path/to/sockd.conf

Algunes distribucions anomenen l’executable danted. Comprova la configuració amb l’ordre instal·lada abans d’iniciar el servei. Aplica restriccions d’origen equivalents al tallafoc i després prova tant l’objectiu permès com un objectiu controlat que s’hauria de rebutjar.

Articles relacionats