Lisa Dantele kasutajanimega autentimine

Muuda Dante 1.4.4 SOCKS-poliitika üksnes lähtekoha järgi lubamisest selgesõnaliseks kontokontrolliks, säilitades lähte- ja sihtkoha piirangud.

Dante 1.4.4 kliendireeglid lubavad ühenduse enne SOCKS-läbirääkimist, SOCKS-reeglid aga määravad, millised autenditud päringud võivad jätkuda. Lubatud lähtekohast ühendus võib teises etapis siiski kasutajanime nõuda.

Operatsioonisüsteemi kasutajanimega autentimisel vaata lisaks meetodile üle teenuse identiteedid. Kontobaasi lugemine võib nõuda privilegeeritud identiteeti:

clientmethod: none
socksmethod: username
user.privileged: root
user.unprivileged: danteproxy

Kasuta Dante jaoks paigaldatud tegelikku väheste õigustega teenusekontot. Loo või vali lubatud kliendikonto, mis sobib kasutajanime kontrolliva taustsüsteemiga; teenuse identiteet ja kliendi sisselogimine täidavad eri rolle.

Säilita päringupiirid

Pärast olemasolevat kitsast kliendireeglit nõua lubatud SOCKS-marsruudil kontot:

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    socksmethod: username
    user: proxyuser
    log: connect error
}

Aadressid ja kontonimi on kohatäitjad. See lubab ühe lähtekoha, ühe sihtkoha, ühe käsu ja nimetatud autenditud kasutaja. Ära asenda seda piiri piiramatute lähtekohtadega üksnes parooli lisamise tõttu.

Üldised ja reeglipõhised meetodiseaded peavad ühtima. Kontrolli, ega üksnes lähtekohapõhisest seadistusest ole alles jäänud vana ainult none lubav reegel. Säilita ka kavandatud kuulaja- ja tulemüüripiirangud.

Katseta läbirääkimist ja juurdepääsu eraldi

Enne käivitamist kontrolli faili paigaldatud serveri seadistuskontrolli režiimis. Seejärel kasuta lubatud klienti, mis toetab päriselt SOCKS5 kasutajanime/parooli läbirääkimist. Kontrolli puuduvaid ja valesid sisselogimisandmeid ning lubatud konto päringut keelatud sihtkohta.

RFC 1929 määratletud kasutajanime/parooli alamläbirääkimine ei krüpti parooli. Hilisem HTTPS-seanss sihtkohaga ei kaitse seda varasemat proksivahetust. Kasuta kliendist serverini sobivalt kaitstud teed.

Edukas seadistuskontroll kinnitab süntaksit ja identiteete, mitte kontobaasi ega võrguteed. Vaata serverilogidest, millises etapis tegelik katse tagasi lükati.

Seotud artiklid