Las reglas de respuesta UDP de Dante invierten la dirección from/to
Aplique las reglas de respuesta de Dante en la dirección de fuera hacia dentro en lugar de copiar los supuestos de dirección del cliente saliente.
El cliente está autenticado y la asociación UDP está permitida. Las respuestas siguen fallando. En Dante, examine la dirección de la regla que gestiona el tráfico de retorno.
Dante separa los comandos de inicio del manejo de respuestas:
| Comandos de regla | from | to |
|---|---|---|
connect, bind, udpassociate | Cliente interno | Destino externo |
bindreply, udpreply | Host externo | Cliente interno |
Por eso, copiar la restricción de subred de un cliente sin cambios en ambas direcciones puede coincidir con el lado equivocado en la regla de respuesta. Revise los remitentes externos y los destinatarios internos previstos, no solo si la palabra UDP aparece en una regla de paso.
La autenticación tiene una frontera relacionada. El servicio externo que responde a un datagrama UDP no es un cliente SOCKS capaz de completar su intercambio de usuario y contraseña. La documentación de Dante explica que las operaciones de respuesta derivan de una asociación BIND o UDP anterior del cliente; autentique esa operación inicial y aplique la política de respuesta asociada adecuada.
Esto no justifica tráfico entrante no solicitado sin restricciones. La asociación UDP, la política de destino, la dirección de retransmisión y la ruta del cortafuegos siguen importando. Tampoco habilitar bindreply convierte la asociación UDP en un servicio universal de reenvío de puertos público.
Mantenga visibles por separado el intercambio SOCKS del lado del cliente y la ruta de retorno UDP real. Un inicio de sesión TCP correcto no verifica ni la dirección de direcciones de la ACL de respuesta ni la accesibilidad del extremo del relé UDP.