Rajoitettu SOCKS5-palvelin Dantella

Määritä Dante 1.4.4:lle tietty kuuntelija, yksi sallittu asiakas ja yksi sallittu kohde sekä erota sen kaksi sääntövaihetta.

Dante tekee kaksi pääsytarkistusta: asiakassääntö hyväksyy saapuvan lähteen, ja SOCKS-sääntö sallii pyydetyn kohteen ja komennon. Tämä Dante 1.4.4 -esimerkki antaa yhden asiakkaan ottaa yhteyden yhteen hallittuun kohteeseen portissa 443.

Palvelun käyttäjä ja osoitteet

Luo erillinen vähäoikeuksinen tili, ellei asennus tarjoa sellaista:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Molemmat käyttäjäroolit voivat käyttää tätä tiliä alla olevassa korkean portin ja sallittujen lähteiden määrityksessä. Salasanatodennus tai erityisoikeuksia tarvitsevat toiminnot edellyttävät näiden asetusten tarkistamista uudelleen. Korvaa kaikki dokumentaatio-osoitteet ennen käyttöä.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal valitsee asiakkaan puoleisen kuuntelijan; external valitsee ulospäin käytettävän osoitteen. Yhden verkkoliitännän palvelin voi käyttää samaa sille osoitettua osoitetta molempiin. Sopivassa tilanteessa voi käyttää myös liitännän nimeä; tarkista, miksi osoitteiksi se laajenee.

Mitä tämä käytäntö sallii

Ensimmäinen sääntö päästää määritetyn lähteen kuuntelijalle. Toinen sallii vain CONNECTin määritettyyn kohteeseen. Vastaamattomat pyynnöt jäävät estetyiksi, myös BIND ja UDP ASSOCIATE.

Menetelmäasetukset eivät tarjoa käyttäjänimitodennusta. Pääsy riippuu tarkasti rajatusta lähdesäännöstä ja sen verkkorajasta. Järjestely sopii vain tilanteeseen, jossa lähde tunnistaa valtuutetun asiakkaan.

sockd -V -f /path/to/sockd.conf

Jotkin jakelut nimeävät suoritustiedoston danted. Tarkista määritys asennetulla komennolla ennen palvelun käynnistämistä. Aseta vastaavat lähderajoitukset palomuuriin ja testaa sitten sekä sallittu kohde että hallittu kohde, joka pitää estää.

Aiheeseen liittyvät artikkelit