Korlátozott SOCKS5-kiszolgáló Dantéval

Állítsa be a Dante 1.4.4-et adott figyelővel, egy engedélyezett klienssel és egy céllal, elkülönítve a két szabályszakaszt.

A Dante két hozzáférés-ellenőrzést végez: egy kliensszabály beengedi a bejövő forrást, egy SOCKS-szabály pedig engedélyezi a kért célt és parancsot. Ez a Dante 1.4.4-példa egy kliensnek enged hozzáférést egy ellenőrzött cél 443-as portjához.

Szolgáltatásazonosság és címek

Hozzon létre külön, alacsony jogosultságú fiókot, ha a telepítés nem ad ilyet:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Az alábbi, magas portot és forrásengedélyezési listát használó beállításban mindkét azonosság használhatja ezt a fiókot. A jelszavas hitelesítés vagy a kiemelt jogú funkciók e beállítások újbóli átnézését igénylik. Használat előtt cseréljen le minden dokumentációs címet.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

Az internal a kliensek felé néző figyelőt, az external a kimenő címet választja ki. Egy egyinterfészes kiszolgáló mindkettőhöz ugyanazt a hozzárendelt címet használhatja. Ahol megfelelő, interfésznév is megadható; ellenőrizze, milyen címekre bomlik ki.

Mit enged ez a házirend?

Az első szabály beengedi a megadott forrást a figyelőhöz. A második csak CONNECT-et enged a megadott célhoz. A nem illeszkedő kérések tiltva maradnak, köztük a BIND és az UDP ASSOCIATE.

A módszerbeállítások nem adnak felhasználónév-alapú hitelesítést. A hozzáférés a szűk forrásszabályon és hálózati határán múlik. Ez az elrendezés csak ott megfelelő, ahol a forrás jogosult klienst azonosít.

sockd -V -f /path/to/sockd.conf

Egyes disztribúciókban a végrehajtható fájl neve danted. A szolgáltatás indítása előtt ellenőrizze a konfigurációt a telepített paranccsal. Alkalmazzon megfelelő forráskorlátozást a tűzfalon, majd tesztelje az engedélyezett célt és egy ellenőrzött, elutasítandó célt is.

Kapcsolódó cikkek