SOCKS5-autentimismeetodite valimine Dantes

SOCKS5 puhul peetakse autentimise üle läbirääkimisi enne, kui klient saadab oma sihtkoha päringu. Seetõttu on varajane mandaadi tõrge teistsugune sündmus kui FTP, HTTPS või muu rakenduse tõrge puhverserveri taga.

Kliendi tervitus loetleb autentimismeetodid, mida see toetab. Server valib sellest loendist ühe meetodi ja saadab valiku tagasi. Väärtus 0xff tähendab, et ükski pakutud meetod pole vastuvõetav ja ühendus tuleb sulgeda. Klient ei proovi pärast parooli ebaõnnestumist lihtsalt kõiki serveripoolseid meetodeid.

Mida Dante järjekord juhib

Dante 1.4.x nimetab protokollitasandi seadet socksmethod. Selle dokumentatsioon ütleb, et meetodid on loetletud eelistusjärjekorras. Poliitika puhul, mis lubab mõlemat meetodit, eelistab see deklaratsioon kasutajanime/parooli, kui klient seda pakub:

socksmethod: username none

Loendi ümberpööramine eelistab autentimata juurdepääsu, kui pakutakse mõlemat meetodit:

socksmethod: none username

Need on alternatiivsed meetodideklaratsioonid, mitte täielikud serveri konfiguratsioonid. Kuulamisliidesed, lubatud kliendid, sihtkoha reeglid ja mis tahes reeglipõhised autentimispiirangud on endiselt olulised.

none lubamisel on konkreetne tagajärg: klient, mis pakub ainult autentimist mitte, võidakse kohaldatavate reeglite alusel vastu võtta. username esimeseks panemine ei muuda none sisaldavat loendit nõudeks, et kõik esitaksid parooli.

Valige esmalt nõue

Kui iga lubatud klient peab autentima kasutajanime/parooliga, seadistage see nõue järjekindlalt üldistes ja kohaldatavates reeglites, selle asemel et lisada none üldise ühilduvusparandusena. Kui anonüümne juurdepääs on piiratud kliendirühmale tahtlik, tehke rühm ja selle lubatud sihtkohad selgesõnaliseks.

Dantel on ka clientmethod, mis puudutab kontrolle, mida tehakse TCP-kliendi ühendamisel enne SOCKS-i läbirääkimisi. See on eraldi kiht SOCKS5 tervituses vahetatavatest meetoditest. Vanemat method märksõna kasutavaid konfiguratsioonifragmente tuleks lugeda paigaldatud Dante versiooni käsiraamatu järgi.

Kui kaks klienti käituvad erinevalt, võrrelge, mida kumbki pakub, mida Dante valib ja kas valitud meetodi alamläbirääkimine õnnestub. Seejärel uurige SOCKS-i sihtkoha vastust. See jada tuvastab puuduva mandaadi tagasikutse ilma iga tõrget FTP-le omistamata või serveri autentimispoliitikat pimesi muutmata.

Lõpuks ei krüpteeri SOCKS5 kasutajanime/parooli autentimine parooli vahetust. Kasutage asjakohaselt kaitstud transporti või võrku, kui need mandaadid vajavad konfidentsiaalsust.