Danteova pravila za UDP odgovore obrću smjer from/to
Primijenite Danteova pravila za odgovore u smjeru vanjski prema unutarnjem umjesto kopiranja adresnih pretpostavki odlaznog klijenta.
Klijent je autentificiran i UDP asocijacija je dopuštena. Odgovori ipak ne prolaze. U Danteu provjerite smjer pravila koje obrađuje povratni promet.
Dante razdvaja zapovijedi za pokretanje od obrade odgovora:
| Zapovijedi pravila | from | to |
|---|---|---|
connect, bind, udpassociate | Unutarnji klijent | Vanjsko odredište |
bindreply, udpreply | Vanjski host | Unutarnji klijent |
Kopiranje klijentova ograničenja podmreže nepromijenjeno u oba smjera stoga na pravilu za odgovore može pogoditi pogrešnu stranu. Provjerite namjeravane vanjske pošiljatelje i unutarnje primatelje, a ne samo pojavljuje li se riječ UDP u pravilu pass.
Autentifikacija ima povezanu granicu. Vanjska usluga koja odgovara na UDP datagram nije SOCKS klijent koji može dovršiti vašu razmjenu korisničkog imena i zaporke. Danteova dokumentacija objašnjava da operacije odgovora proizlaze iz klijentove ranije BIND ili UDP asocijacije; autentificirajte tu početnu operaciju i primijenite odgovarajuću politiku pridruženih odgovora.
To ne opravdava neograničeni neželjeni ulazni promet. UDP asocijacija, odredišna politika, adresa releja i put kroz vatrozid i dalje su važni. Niti omogućavanje bindreply pretvara UDP asocijaciju u uslugu javnog prosljeđivanja portova opće namjene.
Držite klijentsku SOCKS razmjenu i stvarni povratni UDP put odvojeno vidljivima. Uspješna TCP prijava ne potvrđuje ni smjer adresa u ACL-u za odgovore ni dostupnost UDP relay endpointa.