Valg af SOCKS5-godkendelsesmetoder i Dante

Med SOCKS5 forhandles godkendelse, før klienten sender sin destinationsanmodning. Det gør en tidlig legitimationsfejl til en anden hændelse end en FTP-, HTTPS- eller anden applikationsfejl bag proxyen.

Klientens hilsen oplister de godkendelsesmetoder, den understøtter. Serveren vælger én metode fra listen og sender valget tilbage. Værdien 0xff betyder, at ingen tilbudt metode er acceptabel, og forbindelsen skal lukkes. Klienten prøver ikke blot hver metode på serversiden, efter at en adgangskode er fejlet.

Hvad Dantes rækkefølge styrer

Dante 1.4.x kalder protokolniveauindstillingen socksmethod. Dokumentationen siger, at metoder er angivet i præferenceorden. For en politik, der tillader begge metoder, foretrækker denne erklæring brugernavn/adgangskode, når klienten tilbyder det:

socksmethod: username none

At vende listen om foretrækker uautentificeret adgang, når begge metoder tilbydes:

socksmethod: none username

Dette er alternative metodeerklæringer, ikke komplette serverkonfigurationer. Lyttende grænseflader, tilladte klienter, destinationsregler og eventuelle regelspecifikke godkendelsesbegrænsninger betyder stadig noget.

At tillade none har en konkret konsekvens: en klient, der kun tilbyder ingen godkendelse, kan accepteres under de gældende regler. At placere username først gør ikke en liste, der indeholder none, til et krav om, at alle angiver en adgangskode.

Vælg kravet først

Hvis hver tilladt klient skal godkende med brugernavn/adgangskode, konfigurer det krav konsekvent i de globale og gældende regler i stedet for at tilføje none som en generel kompatibilitetsrettelse. Hvis anonym adgang er tilsigtet for en begrænset klientgruppe, så gør gruppen og dens tilladte destinationer eksplicitte.

Dante har også clientmethod, som vedrører kontroller, der udføres, når TCP-klienten opretter forbindelse, før SOCKS-forhandling. Det er et separat lag fra de metoder, der udveksles i SOCKS5-hilsenen. Konfigurationsuddrag, der bruger et ældre method nøgleord, bør læses mod manualen for den installerede Dante-version.

Når to klienter opfører sig forskelligt, sammenlign hvad hver tilbyder, hvad Dante vælger, og om den valgte metodes underforhandling lykkes. Undersøg derefter SOCKS-destinationssvaret. Denne sekvens identificerer et manglende legitimationscallback uden at tilskrive hver fejl FTP eller blindt ændre serverens godkendelsespolitik.

Endelig krypterer SOCKS5 brugernavn/adgangskode-godkendelse ikke udvekslingen af adgangskoden. Brug en passende beskyttet transport eller netværk, når disse legitimationsoplysninger har brug for fortrolighed.