Les regles de resposta UDP de Dante inverteixen la direcció from/to
Apliqueu les regles de resposta de Dante en la direcció de fora cap a dins, en lloc de copiar les suposicions d'adreça del client sortint.
El client està autenticat i l'associació UDP està permesa. Les respostes encara fallen. A Dante, examineu la direcció de la regla que gestiona el trànsit de retorn.
Dante separa les ordres d'inici de la gestió de respostes:
| Ordres de regla | from | to |
|---|---|---|
connect, bind, udpassociate | Client intern | Destinació externa |
bindreply, udpreply | Amfitrió extern | Client intern |
Per tant, copiar la restricció de subxarxa del client sense canvis en totes dues direccions pot fer coincidir el costat equivocat a la regla de resposta. Reviseu els remitents externs i els destinataris interns previstos, no només si la paraula UDP apareix en una regla de pas.
L'autenticació té una frontera relacionada. El servei extern que respon a un datagrama UDP no és un client SOCKS que pugui completar l'intercanvi d'usuari i contrasenya. La documentació de Dante explica que les operacions de resposta deriven d'una associació BIND o UDP anterior del client; autentiqueu aquesta operació inicial i apliqueu la política de resposta associada adequada.
Això no justifica trànsit entrant no sol·licitat sense restriccions. L'associació UDP, la política de destinació, l'adreça de relé i el camí del tallafoc continuen important. Activar bindreply tampoc converteix l'associació UDP en un servei universal de reenviament de ports públic.
Manteniu visibles per separat l'intercanvi SOCKS del costat client i el camí de retorn UDP real. Un inici de sessió TCP correcte no verifica ni la direcció d'adreces de l'ACL de resposta ni l'abastabilitat del punt final del relé UDP.