Dante UDP-vastusreeglid pööravad from/to suuna ümber
Rakendage Dante vastusreegleid väljast-sisse suunas, selle asemel et kopeerida väljuva kliendi aadressieeldusi.
Klient on autenditud ja UDP-seos on lubatud. Vastused siiski ebaõnnestuvad. Uurige Dantes tagasiliikuva liikluse reegli suunda.
Dante eristab algatavad käsud vastuste töötlemisest:
| Reegli käsud | from | to |
|---|---|---|
connect, bind, udpassociate | Sisemine klient | Väline sihtkoht |
bindreply, udpreply | Väline host | Sisemine klient |
Seega võib kliendi alamvõrgu piirangu muutmata kujul mõlemas suunas kopeerimine vastusreeglis tabada vale poolt. Vaadake üle kavandatud välised saatjad ja sisemised vastuvõtjad, mitte ainult see, kas sõna UDP esineb läbilaskereeglis.
Autentimisel on seotud piir. Väline teenus, mis vastab UDP-datagrammile, ei ole SOCKS-klient, mis suudaks teie kasutajanime ja parooli vahetuse lõpule viia. Dante dokumentatsioon selgitab, et vastustehted tulenevad kliendi varasemast BIND- või UDP-seosest; autentige see algatav tehe ja rakendage sobivat seotud vastuste poliitikat.
See ei õigusta piiramatut soovimata sissetulevat liiklust. UDP-seos, sihtkoha poliitika, relee aadress ja tulemüüri tee on endiselt olulised. Ka bindreply lubamine ei muuda UDP-seost üldiseks avalikuks pordiedastusteenuseks.
Hoidke kliendipoolne SOCKS-vahetus ja tegelik UDP tagasitee eraldi nähtavana. Edukas TCP-sisselogimine ei kinnita ei vastuse ACL-i aadressisuunda ega UDP-relee lõpp-punkti kättesaadavust.