Volba metod ověřování SOCKS5 v Dante

Pochopte, jak Dante vybírá nabízenou metodu ověřování SOCKS5 a jak pořadí metod mění politiku, kterou klienti zažívají.

U SOCKS5 se ověřování vyjednává dříve, než klient odešle svůj požadavek na cíl. Díky tomu je časné selhání přihlašovacích údajů jinou událostí než selhání FTP, HTTPS nebo jiné aplikace za proxy.

Pozdrav klienta vypisuje metody ověřování, které podporuje. Server vybere jednu metodu z tohoto seznamu a vrátí volbu. Hodnota 0xff znamená, že žádná nabízená metoda není přijatelná a spojení se musí uzavřít. Klient po neúspěšném hesle jednoduše nezkouší všechny metody na straně serveru.

Co pořadí v Dante ovládá

Dante 1.4.x nazývá nastavení na úrovni protokolu socksmethod. Jeho dokumentace uvádí, že metody jsou uvedeny v pořadí preference. Pro politiku, která povoluje obě metody, tato deklarace preferuje uživatelské jméno/heslo, když je klient nabídne:

socksmethod: username none

Opačné pořadí preferuje neověřený přístup, když jsou nabízeny obě metody:

socksmethod: none username

Toto jsou alternativní deklarace metod, nikoli úplné konfigurace serveru. Naslouchací rozhraní, povolení klienti, pravidla cílů a jakákoli omezení ověřování specifická pro pravidlo jsou stále důležitá.

Povolení none má konkrétní důsledek: klient, který nabízí pouze žádné ověřování, může být podle platných pravidel přijat. Umístění username na první místo nepromění seznam obsahující none v požadavek, aby každý poskytl heslo.

Nejprve zvolte požadavek

Pokud se každý povolený klient musí ověřovat uživatelským jménem/heslem, nakonfigurujte tento požadavek konzistentně v globálních a platných pravidlech místo přidávání none jako obecné opravy kompatibility. Pokud je anonymní přístup záměrný pro omezenou skupinu klientů, učinte skupinu a její povolené cíle explicitními.

Dante má také clientmethod, který se týká kontrol prováděných při připojení TCP klienta, před vyjednáváním SOCKS. Je to samostatná vrstva od metod vyměňovaných v pozdravu SOCKS5. Konfigurační úryvky používající starší klíčové slovo method je třeba číst podle manuálu pro nainstalovanou verzi Dante.

Když se dva klienti chovají odlišně, porovnejte, co každý nabízí, co Dante vybere a zda podvyjednávání zvolené metody uspěje. Poté prohlédněte odpověď cíle SOCKS. Tato posloupnost identifikuje chybějící zpětné volání přihlašovacích údajů, aniž by každé selhání připisovala FTP nebo naslepo měnila politiku ověřování serveru.

Nakonec ověřování uživatelským jménem/heslem u SOCKS5 nešifruje výměnu hesla. Použijte vhodně chráněný přenos nebo síť, když tyto údaje potřebují důvěrnost.

Související články