Οι κανόνες απάντησης UDP του Dante αντιστρέφουν την κατεύθυνση from/to
Εφαρμόστε τους κανόνες απάντησης του Dante στην κατεύθυνση έξω προς μέσα, αντί να αντιγράφετε τις υποθέσεις διεύθυνσης του εξερχόμενου πελάτη.
Ο πελάτης έχει πιστοποιηθεί και η συσχέτιση UDP επιτρέπεται. Οι απαντήσεις εξακολουθούν να αποτυγχάνουν. Στο Dante, εξετάστε την κατεύθυνση του κανόνα που χειρίζεται την επιστρεφόμενη κίνηση.
Το Dante διαχωρίζει τις εντολές έναρξης από τον χειρισμό απαντήσεων:
| Εντολές κανόνα | from | to |
|---|---|---|
connect, bind, udpassociate | Εσωτερικός πελάτης | Εξωτερικός προορισμός |
bindreply, udpreply | Εξωτερικός κεντρικός υπολογιστής | Εσωτερικός πελάτης |
Επομένως, η αντιγραφή του περιορισμού υποδικτύου του πελάτη χωρίς αλλαγή και στις δύο κατευθύνσεις μπορεί να ταιριάξει τη λάθος πλευρά στον κανόνα απάντησης. Ελέγξτε τους προβλεπόμενους εξωτερικούς αποστολείς και εσωτερικούς παραλήπτες, όχι απλώς αν η λέξη UDP εμφανίζεται σε κανόνα διέλευσης.
Η πιστοποίηση έχει ένα σχετικό όριο. Η εξωτερική υπηρεσία που απαντά σε ένα αυτοδύναμο πακέτο UDP δεν είναι πελάτης SOCKS που μπορεί να ολοκληρώσει την ανταλλαγή ονόματος χρήστη και κωδικού. Η τεκμηρίωση του Dante εξηγεί ότι οι πράξεις απάντησης προκύπτουν από προγενέστερη συσχέτιση BIND ή UDP του πελάτη· πιστοποιήστε εκείνη την πράξη έναρξης και εφαρμόστε την κατάλληλη πολιτική συσχετισμένων απαντήσεων.
Αυτό δεν δικαιολογεί απεριόριστη μη ζητηθείσα εισερχόμενη κίνηση. Η συσχέτιση UDP, η πολιτική προορισμού, η διεύθυνση αναμετάδοσης και η διαδρομή του τείχους προστασίας εξακολουθούν να μετράνε. Ούτε η ενεργοποίηση του bindreply μετατρέπει τη συσχέτιση UDP σε γενική δημόσια υπηρεσία προώθησης θυρών.
Κρατήστε την ανταλλαγή SOCKS από την πλευρά του πελάτη και την πραγματική διαδρομή επιστροφής UDP ορατές χωριστά. Μια επιτυχημένη σύνδεση TCP δεν επαληθεύει ούτε την κατεύθυνση διευθύνσεων του ACL απαντήσεων ούτε την προσβασιμότητα του τελικού σημείου αναμετάδοσης UDP.