En begrænset SOCKS5-server med Dante

Konfigurér Dante 1.4.4 med en bestemt lytter, én tilladt klient og én tilladt destination, og skeln mellem de to regeltrin.

Dante udfører to adgangskontroller: en klientregel lukker en indgående kilde ind, og en SOCKS-regel tillader den ønskede destination og kommando. Dette Dante 1.4.4-eksempel lader én klient nå én kontrolleret destination på port 443.

Tjenesteidentitet og adresser

Opret en dedikeret konto med få rettigheder, hvis installationen ikke leverer en:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Begge identiteter kan bruge denne konto til konfigurationen nedenfor med en høj port og en liste over tilladte kilder. Adgangskodegodkendelse eller privilegerede funktioner kræver, at indstillingerne vurderes igen. Udskift alle dokumentationsadresser før brug.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal vælger den klientvendte lytter; external vælger den udgående adresse. En server med ét netværksinterface kan bruge samme tildelte adresse til begge. Et interfacenavn kan også bruges, hvor det passer; kontrollér, hvilke adresser det udvides til.

Hvad denne politik tillader

Den første regel lukker den angivne kilde ind til lytteren. Den anden tillader kun CONNECT til det angivne mål. Anmodninger uden match forbliver blokeret, herunder BIND og UDP ASSOCIATE.

Metodeindstillingerne giver ingen brugernavnsgodkendelse. Adgang afhænger af den snævre kilderegel og dens netværksgrænse. Ordningen er kun egnet, hvor kilden identificerer en autoriseret klient.

sockd -V -f /path/to/sockd.conf

Nogle distributioner kalder den eksekverbare fil danted. Kontrollér konfigurationen med den installerede kommando før tjenesten startes. Anvend tilsvarende kildebegrænsninger i firewallen, og test derefter både det tilladte mål og et kontrolleret mål, der skal afvises.

Relaterede artikler