Ένας περιορισμένος διακομιστής SOCKS5 με Dante

Ρυθμίστε το Dante 1.4.4 με συγκεκριμένο ακροατή, έναν επιτρεπόμενο πελάτη και έναν προορισμό, ξεχωρίζοντας τα δύο στάδια κανόνων.

Το Dante εφαρμόζει δύο ελέγχους πρόσβασης: ένας κανόνας πελάτη δέχεται εισερχόμενη πηγή και ένας κανόνας SOCKS επιτρέπει τον ζητούμενο προορισμό και εντολή. Αυτό το παράδειγμα Dante 1.4.4 επιτρέπει σε έναν πελάτη να φτάσει σε έναν ελεγχόμενο προορισμό στη θύρα 443.

Ταυτότητα υπηρεσίας και διευθύνσεις

Δημιουργήστε ξεχωριστό λογαριασμό χαμηλών δικαιωμάτων αν η εγκατάσταση δεν παρέχει έναν:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Και οι δύο ταυτότητες μπορούν να χρησιμοποιούν αυτόν τον λογαριασμό στη ρύθμιση παρακάτω, με υψηλή θύρα και λίστα επιτρεπόμενων πηγών. Η ταυτοποίηση με κωδικό ή οι προνομιούχες λειτουργίες απαιτούν επανεξέταση αυτών των ρυθμίσεων. Αντικαταστήστε όλες τις διευθύνσεις τεκμηρίωσης πριν από τη χρήση.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

Το internal επιλέγει τον ακροατή προς τους πελάτες· το external επιλέγει την εξερχόμενη διεύθυνση. Διακομιστής με μία διεπαφή μπορεί να χρησιμοποιεί την ίδια εκχωρημένη διεύθυνση και για τα δύο. Μπορεί να χρησιμοποιηθεί και όνομα διεπαφής όπου αρμόζει· ελέγξτε σε ποιες διευθύνσεις επεκτείνεται.

Τι επιτρέπει αυτή η πολιτική

Ο πρώτος κανόνας δέχεται την καθορισμένη πηγή στον ακροατή. Ο δεύτερος επιτρέπει μόνο CONNECT στον καθορισμένο στόχο. Τα μη αντιστοιχισμένα αιτήματα παραμένουν αποκλεισμένα, μαζί με BIND και UDP ASSOCIATE.

Οι ρυθμίσεις μεθόδων δεν παρέχουν ταυτοποίηση με όνομα χρήστη. Η πρόσβαση βασίζεται στον στενό κανόνα πηγής και στο όριο δικτύου του. Αυτή η διάταξη είναι κατάλληλη μόνο όπου η πηγή ταυτοποιεί εξουσιοδοτημένο πελάτη.

sockd -V -f /path/to/sockd.conf

Ορισμένες διανομές ονομάζουν το εκτελέσιμο danted. Ελέγξτε τη ρύθμιση με την εγκατεστημένη εντολή πριν ξεκινήσετε την υπηρεσία. Εφαρμόστε αντίστοιχους περιορισμούς πηγής στο τείχος προστασίας και μετά δοκιμάστε τον επιτρεπόμενο στόχο και έναν ελεγχόμενο στόχο που πρέπει να απορριφθεί.

Σχετικά άρθρα